\nЧасть 2: Балансировка нагрузки и сервис-дискавери с Consul и Traefik для Marimo<\/a><\/p>\n
\n
Зачем нужен HTTPS<\/h3>\n\n- Шифрование<\/b>: данные между браузером и сервером передаются в зашифрованном виде.<\/li>\n
- Подготовка к продакшену<\/b>: архитектура с двумя точками входа (HTTP и HTTPS) и автоматическим редиректом — это стандартная схема.<\/li>\n
- Доверие к сертификатам<\/b>: локально вы можете использовать самоподписные сертификаты, а в продакшене — Let’s Encrypt, не меняя структуру конфигурации.<\/li>\n<\/ul>\n
\nШаг 1: Генерация самоподписного сертификата<\/h3>\n
Для создания сертификата используем `openssl`, который уже есть в macOS. Важный момент: обязательно указываем Subject Alternative Name (SAN)<\/b> с именем домена, иначе современные браузеры откажутся считать сертификат валидным.<\/p>\nmkdir -p ~\/marimo-app\/certs && cd ~\/marimo-app\/certs\n\nopenssl req -x509 -nodes -days 365 \\\n -newkey rsa:2048 \\\n -keyout marimo.localhost.key \\\n -out marimo.localhost.crt \\\n -subj "\/CN=marimo.localhost" \\\n -addext "subjectAltName=DNS:marimo.localhost"<\/code><\/pre>В папке `certs` появятся два файла:<\/p>\n
\n- `marimo.localhost.key` — приватный ключ.<\/li>\n
- `marimo.localhost.crt` — сертификат.<\/li>\n<\/ul>\n
Что произойдёт при открытии сайта<\/b>: браузер покажет предупреждение, что сертификат не является доверенным. Это ожидаемое поведение — вы можете принять исключение для домена `marimo.localhost`. В продакшене предупреждения не будет, так как сертификаты Let’s Encrypt автоматически доверенные.<\/p>\n
\nШаг 2: Обновление конфигурации Traefik<\/h3>\n
Traefik поддерживает разделение конфигурации на статическую<\/b> (точки входа, провайдеры) и динамическую<\/b> (маршруты, сертификаты). Мы создадим обе через блоки `template` в задании Nomad.<\/p>\nСтатическая конфигурация<\/h4>\n
Добавим точку входа `websecure` на порту 8443 и настроим автоматический редирект с HTTP на HTTPS:<\/p>\n
[entryPoints]\n [entryPoints.web]\n address = ":8080"\n [entryPoints.web.http.redirections.entryPoint]\n to = "websecure"\n scheme = "https"\n permanent = true\n\n [entryPoints.websecure]\n address = ":8443"\n\n [entryPoints.traefik]\n address = ":8081"\n\n[api]\n dashboard = true\n insecure = true\n\n[providers.consulCatalog]\n prefix = "traefik"\n exposedByDefault = false\n\n [providers.consulCatalog.endpoint]\n address = "127.0.0.1:8500"\n scheme = "http"\n\n[providers.file]\n filename = "${NOMAD_TASK_DIR}\/dynamic.toml"\n watch = true<\/code><\/pre>Ключевые моменты:<\/b><\/p>\n\n- `websecure` на порту `8443` — точка входа для HTTPS-трафика.<\/li>\n
- `[entryPoints.web.http.redirections.entryPoint]` — HTTP-запросы автоматически перенаправляются на HTTPS.<\/li>\n
- `[providers.file]` — подключает динамический провайдер, который читает наш файл с сертификатами.<\/li>\n<\/ul>\n
Динамическая конфигурация<\/h4>\n
Здесь мы описываем сам сертификат:<\/p>\n
[tls]\n [tls.stores]\n [tls.stores.default]\n [tls.stores.default.defaultCertificate]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"\n\n [[tls.certificates]]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"<\/code><\/pre>Обратите внимание, что здесь используются абсолютные пути<\/b>. Это работает, потому что мы запускаем Traefik через `raw_exec` — процесс работает прямо на хосте и имеет доступ ко всем файлам.<\/p>\n
\nШаг 3: Полное задание Traefik<\/h3>\n
Вот итоговый файл `traefik.nomad` с обеими конфигурациями:<\/p>\n
job "traefik" {\n region = "global"\n datacenters = ["dc1"]\n type = "service"\n\n group "traefik" {\n count = 1\n\n network {\n port "http" {\n static = 8080\n }\n port "api" {\n static = 8081\n }\n }\n\n service {\n name = "traefik"\n check {\n name = "alive"\n type = "tcp"\n port = "http"\n interval = "10s"\n timeout = "2s"\n }\n }\n\n task "traefik" {\n driver = "raw_exec"\n\n # Статическая конфигурация Traefik\n template {\n data = <<EOF\n[entryPoints]\n [entryPoints.web]\n address = ":8080"\n [entryPoints.web.http.redirections.entryPoint]\n to = "websecure"\n scheme = "https"\n permanent = true\n\n [entryPoints.websecure]\n address = ":8443"\n\n [entryPoints.traefik]\n address = ":8081"\n\n[api]\n dashboard = true\n insecure = true\n\n[providers.consulCatalog]\n prefix = "traefik"\n exposedByDefault = false\n\n [providers.consulCatalog.endpoint]\n address = "127.0.0.1:8500"\n scheme = "http"\n\n[providers.file]\n filename = "${NOMAD_TASK_DIR}\/dynamic.toml"\n watch = true\nEOF\n destination = "local\/traefik.toml"\n }\n\n # Динамическая конфигурация: сертификаты по абсолютному пути\n template {\n data = <<EOF\n[tls]\n [tls.stores]\n [tls.stores.default]\n [tls.stores.default.defaultCertificate]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"\n\n [[tls.certificates]]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"\nEOF\n destination = "local\/dynamic.toml"\n }\n\n config {\n command = "\/usr\/local\/bin\/traefik"\n args = [\n "--configfile",\n "${NOMAD_TASK_DIR}\/traefik.toml"\n ]\n }\n\n resources {\n cpu = 100\n memory = 128\n }\n }\n }\n}<\/code><\/pre>
\nШаг 4: Обновление тегов Marimo<\/h3>\n
В задании `marimo-job.nomad` нужно переключить сервис на точку входа `websecure` и включить TLS:<\/p>\n
service {\n name = "marimo-app"\n port = "http"\n tags = [\n "traefik.enable=true",\n "traefik.http.routers.marimo.rule=Host(`marimo.localhost`)",\n "traefik.http.routers.marimo.entrypoints=websecure",\n "traefik.http.routers.marimo.tls=true",\n "traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true",\n ]\n check {\n type = "http"\n path = "\/"\n interval = "2s"\n timeout = "2s"\n }\n}<\/code><\/pre>Что изменилось:<\/b><\/p>\n\n- `entrypoints=websecure` — трафик направляется на HTTPS-точку входа.<\/li>\n
- `tls=true` — включена TLS-терминация для этого маршрута.<\/li>\n<\/ul>\n
\nШаг 5: Запуск и проверка<\/h3>\n
Перезапустите оба задания:<\/p>\n
nomad job stop traefik\nnomad job run traefik.nomad\nnomad job run marimo-job.nomad<\/code><\/pre>Откройте в браузере:<\/p>\n
https:\/\/marimo.localhost:8443<\/code><\/pre>\n![\"\"](\"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.38.21.png\")
\n<\/div>\nБраузер покажет предупреждение о недоверенном сертификате. Нажмите «Дополнительно» → «Перейти на marimo.localhost (небезопасно)» или добавьте сертификат в системный раздел доверенных сертов (в macOS это делается через «Связка ключей»).<\/p>\n
\n![\"\"](\"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.49.01.png\")
\n<\/div>\nЕсли вы попробуете открыть `http:\/\/marimo.localhost:8080<\/a>`, Traefik автоматически перенаправит вас на HTTPS.<\/p>\n
\nВозможные ошибки и их решения<\/h3>\nОшибка: `Unclosed configuration block`<\/h4>\n
Причина:<\/b> незакрытые блоки `{ ... }` в HCL-файле.<\/p>\n
Решение:<\/b> внимательно проверьте, что все блоки `job`, `group`, `task`, `config`, `template` закрыты. В HCL отступы не важны, но фигурные скобки — критичны.<\/p>\nОшибка: `Missing required argument: “command”` при `raw_exec`<\/h4>\n
Причина:<\/b> конфигурация скопирована из задания для `docker` (с полями `image`, `volumes`, `network_mode`), но применён драйвер `raw_exec`.<\/p>\n
Решение:<\/b> для `raw_exec` используйте поля `command` и `args`. Файлы конфигурации создавайте через `template`.<\/p>\nОшибка: `volume_mount` не поддерживается драйвером `raw_exec`<\/h4>\n
Причина:<\/b> драйвер `raw_exec` работает напрямую с процессами хоста и не поддерживает монтирование томов.<\/p>\n
Решение:<\/b> используйте абсолютные пути<\/b> к файлам (как мы сделали в динамической конфигурации). Или переходите на драйвер `docker`\/`podman` — там `volume_mount` работает штатно.<\/p>\nОшибка: `entryPoint “websecure” doesn’t exist`<\/h4>\n
Причина:<\/b> имя точки входа в тегах сервиса не совпадает с именем в статической конфигурации Traefik.<\/p>\n
Решение:<\/b> убедитесь, что в конфиге есть блок `[entryPoints.websecure]`, а в тегах указано `traefik.http.routers.marimo.entrypoints=websecure`.<\/p>\n
\nИтог<\/h3>\n
Мы добавили HTTPS в наш стек. Теперь архитектура выглядит так:<\/p>\n
Пользователь (HTTPS)\n │\n ▼\n Traefik ──► Marimo 1 \/ 2 \/ 3\n(8443) │\n │ ▼\n └─────────► Consul\n ▲\n │\n Nomad Cluster<\/code><\/pre>\n- HTTP-трафик<\/b> на порту 8080 автоматически перенаправляется на HTTPS.<\/li>\n
- HTTPS-трафик<\/b> на порту 8443 расшифровывается Traefik и направляется на реплики Marimo.<\/li>\n
- Сертификаты<\/b> хранятся на хосте и подключаются через абсолютные пути.<\/li>\n<\/ul>\n
В продакшене достаточно заменить пути к сертификатам и указать Traefik получать их автоматически от Let’s Encrypt — структура конфигурации останется той же. Мы разберём это в следующей части.<\/p>\n",
"date_published": "2026-09-29T00:02:00+03:00",
"date_modified": "2026-09-28T23:51:44+03:00",
"tags": [
"Dev",
"DevOps",
"IT"
],
"image": "https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.38.21.png",
"_date_published_rfc2822": "Tue, 29 Sep 2026 00:02:00 +0300",
"_rss_guid_is_permalink": "false",
"_rss_guid": "358",
"_rss_enclosures": [],
"_e2_data": {
"is_favourite": false,
"links_required": [
"highlight\/highlight.js",
"highlight\/highlight.css"
],
"og_images": [
"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.38.21.png",
"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.49.01.png"
]
}
},
{
"id": "357",
"url": "https:\/\/gavrilov.info\/all\/chast-2-balansirovka-nagruzki-i-servis-diskaveri-s-consul-i-trae\/",
"title": "Часть 2: Балансировка нагрузки и сервис-дискавери с Consul и Traefik для Marimo",
"content_html": "
В первой части мы развернули приложение Marimo через Nomad, используя драйвер `raw_exec` и динамические порты. Приложение работало, но у него был существенный недостаток: каждая реплика была доступна по отдельному порту, а пользователю приходилось вручную искать актуальный адрес. Кроме того, отсутствовала отказоустойчивость — при падении одной реплики трафик не перераспределялся.<\/p>\n
Первая часть тут HashiCorp Nomad: развертывание интерактивного Python-приложения на macOS<\/a><\/p>\nВ этой статье мы решим эти проблемы с помощью Consul<\/b> (сервис-дискавери) и Traefik<\/b> (балансировщик нагрузки). Мы также настроим липкие сессии<\/b> (sticky sessions), которые критически важны для stateful-приложений, таких как Marimo.<\/p>\n\n![\"\"](\"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-22.55.24.png\")
\n<\/div>\n
\nЗачем нужны Consul и Traefik?<\/h3>\n\n- Consul<\/b> — распределённый каталог сервисов. Он хранит информацию о работающих репликах, проверяет их здоровье и предоставляет DNS-интерфейс. Без него балансировщик не знал бы, куда направлять трафик.<\/li>\n
- Traefik<\/b> — современный обратный прокси и балансировщик нагрузки. Он автоматически обнаруживает сервисы через Consul Catalog Provider и распределяет запросы между здоровыми репликами.<\/li>\n
- Nomad<\/b> — оркестратор, который управляет всеми компонентами.<\/li>\n<\/ul>\n
Итоговая архитектура:<\/p>\n
Пользователь\n │\n ▼\n Traefik ──► Marimo 1 \/ 2 \/ 3\n(балансировщик) │\n │ ▼\n └──────────► Consul\n ▲\n │\n Nomad Cluster<\/code><\/pre>
\nПредварительные требования<\/h3>\n
Убедитесь, что у вас есть:<\/p>\n
\n- Работающий Nomad<\/b> в режиме разработки (`nomad agent -dev -bind=0.0.0.0`).<\/li>\n
- Проект `~\/marimo-app`<\/b> с файлами `app.py`, `pyproject.toml`, `uv.lock` и виртуальным окружением.<\/li>\n
- Установленный Consul<\/b>.<\/li>\n
- Установленный Traefik<\/b> (мы будем запускать его через Nomad, но бинарник должен быть доступен).<\/li>\n<\/ol>\n
Установка Consul<\/h4>\nbrew tap hashicorp\/tap\nbrew install hashicorp\/tap\/consul<\/code><\/pre>Установка Traefik<\/h4>\nbrew install traefik<\/code><\/pre>Проверьте пути:<\/p>\n
which consul # \/usr\/local\/bin\/consul\nwhich traefik # \/usr\/local\/bin\/traefik<\/code><\/pre>
\nШаг 1: Запуск Consul в режиме разработки<\/h3>\n
Откройте отдельный терминал и запустите Consul:<\/p>\n
consul agent -dev -bind=0.0.0.0 -client=0.0.0.0<\/code><\/pre>Consul будет доступен по адресу `http:\/\/127.0.0.1:8500<\/a>`. Оставьте терминал открытым.<\/p>\nВажно:<\/b> Consul должен быть запущен до<\/b> того, как вы запустите Nomad с интеграцией с Consul, иначе сервисы не зарегистрируются.<\/p>\n
\nШаг 2: Обновление задания Marimo<\/h3>\n
Мы добавим в задание блок `service`, который зарегистрирует приложение в Consul и снабдит его тегами для Traefik. Также включим липкие сессии<\/b>, чтобы запросы одного пользователя всегда попадали на одну и ту же реплику.<\/p>\n
Создайте файл `marimo-job.nomad`:<\/p>\n
job "marimo-app" {\n datacenters = ["dc1"]\n type = "service"\n\n group "app" {\n count = 3\n\n network {\n port "http" {}\n }\n\n service {\n name = "marimo-app"\n port = "http"\n tags = [\n "traefik.enable=true",\n "traefik.http.routers.marimo.rule=Host(`marimo.localhost`)",\n "traefik.http.routers.marimo.entrypoints=web",\n "traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true",\n ]\n check {\n type = "http"\n path = "\/"\n interval = "2s"\n timeout = "2s"\n }\n }\n\n task "marimo" {\n driver = "raw_exec"\n\n config {\n command = "\/Users\/yuriygavrilov\/marimo-app\/.venv\/bin\/marimo"\n args = [\n "run", "app.py",\n "--headless",\n "--port", "${NOMAD_PORT_http}",\n "--host", "0.0.0.0"\n ]\n work_dir = "\/Users\/yuriygavrilov\/marimo-app"\n }\n\n resources {\n cpu = 500\n memory = 256\n }\n }\n }\n}<\/code><\/pre>Что изменилось:<\/b><\/p>\n\n- `count = 3` — запускаем три реплики.<\/li>\n
- Блок `service` — регистрирует сервис в Consul.<\/li>\n
- Теги Traefik:\n
\n - `traefik.enable=true` — разрешает Traefik обслуживать сервис.<\/li>\n
- `traefik.http.routers.marimo.rule=Host(\\`marimo.localhost\\`)` — правило маршрутизации по домену.<\/li>\n
- `traefik.http.routers.marimo.entrypoints=web` — точка входа (должна совпадать с именем в конфиге Traefik).<\/li>\n
- `traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true` — включает липкие сессии на основе cookie.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\nПримечание про домен `.localhost`<\/b><\/p>\n
В примере используется домен `marimo.localhost`. Добавлять его в `\/etc\/hosts` не нужно<\/b> — имена, заканчивающиеся на `.localhost`, автоматически резолвятся в `127.0.0.1` согласно стандарту RFC 6761<\/b> (раздел 6.3) и RFC 6762<\/b>. Это поведение поддерживается:<\/p>\n\n- системным резолвером macOS (`mDNSResponder`),<\/li>\n
- всеми современными браузерами (Chrome, Safari, Firefox),<\/li>\n
- а также большинством инструментов командной строки (`curl`, `ping` и т.д.).<\/li>\n<\/ul>\n
Именно поэтому `http:\/\/marimo.localhost:8080<\/a>` будет работать «из коробки» без правки системных файлов.<\/p>\nКогда `\/etc\/hosts` всё-таки понадобится:<\/b><\/p>\n
Если вы хотите использовать другое имя — например, `marimo.dev`, `marimo.internal` или реальный домен вроде `marimo.example.com`, — тогда запись нужна:<\/p>\n
echo "127.0.0.1 marimo.dev" | sudo tee -a \/etc\/hosts<\/code><\/pre>Для локальной разработки и тестирования домен `.localhost` — самый удобный вариант: он не требует никаких дополнительных настроек и работает одинаково на любой машине.<\/p>\n
\nШаг 3: Создание задания для Traefik<\/h3>\n
Traefik будет запущен через `raw_exec`. Конфигурационный файл создаётся динамически с помощью шаблона Nomad.<\/p>\n
Создайте файл `traefik.nomad`:<\/p>\n
job "traefik" {\n region = "global"\n datacenters = ["dc1"]\n type = "service"\n\n group "traefik" {\n count = 1\n\n network {\n port "http" {\n static = 8080\n }\n port "api" {\n static = 8081\n }\n }\n\n service {\n name = "traefik"\n check {\n name = "alive"\n type = "tcp"\n port = "http"\n interval = "10s"\n timeout = "2s"\n }\n }\n\n task "traefik" {\n driver = "raw_exec"\n\n # Создаём конфигурационный файл Traefik через шаблон\n template {\n data = <<EOF\n[entryPoints]\n [entryPoints.web]\n address = ":8080"\n [entryPoints.traefik]\n address = ":8081"\n\n[api]\n dashboard = true\n insecure = true\n\n# Включаем Consul Catalog Provider\n[providers.consulCatalog]\n prefix = "traefik"\n exposedByDefault = false\n\n [providers.consulCatalog.endpoint]\n address = "127.0.0.1:8500"\n scheme = "http"\nEOF\n destination = "local\/traefik.toml"\n }\n\n config {\n command = "\/usr\/local\/bin\/traefik"\n args = [\n "--configfile",\n "${NOMAD_TASK_DIR}\/traefik.toml"\n ]\n }\n\n resources {\n cpu = 100\n memory = 128\n }\n }\n }\n}<\/code><\/pre>Ключевые моменты:<\/b><\/p>\n\n- `driver = “raw_exec”` — запускаем бинарник напрямую.<\/li>\n
- `template` — создаёт файл `traefik.toml` в директории задачи.<\/li>\n
- `command` — полный путь к Traefik.<\/li>\n
- `args` — указываем путь к созданному конфигу через переменную `${NOMAD_TASK_DIR}`.<\/li>\n
- В конфиге Traefik точка входа называется `web` (порт 8080). Это имя должно совпадать с тегом `traefik.http.routers.marimo.entrypoints=web`.<\/li>\n<\/ul>\n
\nШаг 4: Запуск всех компонентов<\/h3>\n
Убедитесь, что Consul и Nomad запущены в отдельных терминалах.<\/p>\n
Затем в терминале, где вы работаете с заданиями:<\/p>\n
cd ~\/marimo-app\n\n# Запускаем приложение\nnomad job run marimo-job.nomad\n\n# Запускаем Traefik\nnomad job run traefik.nomad<\/code><\/pre>Проверьте статус:<\/p>\n
nomad job status marimo-app\nnomad job status traefik<\/code><\/pre>
\nШаг 5: Проверка работы<\/h3>\n\n- Consul<\/b>: откройте `http:\/\/127.0.0.1:8500<\/a>` и убедитесь, что сервис `marimo-app` зарегистрирован.<\/li>\n<\/ol>\n
\n- Traefik Dashboard<\/b>: откройте `http:\/\/127.0.0.1:8081\/dashboard\/<\/a>`. В разделе HTTP Routers<\/b> должен быть маршрут `marimo` со статусом Enabled<\/b>. В HTTP Services<\/b> — сервис `marimo-app` с тремя здоровыми репликами.<\/li>\n<\/ol>\n
\n- Приложение<\/b>: откройте `http:\/\/marimo.localhost:8080<\/a>`. Вы должны увидеть интерфейс Marimo с полем ввода имени и диаграммой. Проверьте, что при нажатии кнопки данные обновляются, а ошибка `Invalid session id` не появляется.<\/li>\n<\/ol>\n
\nВозможные ошибки и их решения<\/h3>\n
В процессе настройки мы столкнулись с несколькими типичными проблемами. Вот они и способы их устранения.<\/p>\n
Ошибка 1: `EntryPoint doesn’t exist entryPointName=web`<\/h4>\n
Причина:<\/b> в тегах сервиса указана точка входа `web`, а в конфигурации Traefik она называется иначе (например, `http`).<\/p>\n
Решение:<\/b> приведите имена к единому виду. В нашем случае мы переименовали точку входа в конфиге Traefik в `web`:<\/p>\n[entryPoints]\n [entryPoints.web]\n address = ":8080"<\/code><\/pre>И в тегах указали `traefik.http.routers.marimo.entrypoints=web`.<\/p>\n
Ошибка 2: `Invalid session id: s_bpy8u7`<\/h4>\n
Причина:<\/b> отсутствие липких сессий. Marimo — stateful-приложение, оно хранит сессию на конкретной реплике. Если запросы распределяются случайно, браузер попадает на разные реплики, и сессия теряется.<\/p>\n
Решение:<\/b> добавьте тег `traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true`. Traefik установит cookie и будет направлять все запросы от одного браузера на одну и ту же реплику.<\/p>\nОшибка 3: `Missing required argument: “command”` при использовании `raw_exec`<\/h4>\n
Причина:<\/b> конфигурация написана для драйвера `docker` (с полями `image`, `volumes`, `network_mode`), но применён `raw_exec`.<\/p>\n
Решение:<\/b> для `raw_exec` используйте `command` и `args`. Файлы конфигурации создавайте через `template`. Пример для Traefik приведён выше.<\/p>\nОшибка 4: `raw_exec` отключён<\/h4>\n
Причина:<\/b> в некоторых сборках Nomad драйвер `raw_exec` отключён по умолчанию.<\/p>\n
Решение:<\/b> добавьте в конфигурацию клиента Nomad (например, `\/etc\/nomad.d\/nomad.hcl`):<\/p>\nplugin "raw_exec" {\n config {\n enabled = true\n }\n}<\/code><\/pre>и перезапустите агент Nomad, но в моем случае это не понадобилось.<\/p>\n
\nИтог<\/h3>\n
Мы добавили к нашему приложению Marimo два важных компонента:<\/p>\n
\n
Шаг 1: Генерация самоподписного сертификата<\/h3>\n
Для создания сертификата используем `openssl`, который уже есть в macOS. Важный момент: обязательно указываем Subject Alternative Name (SAN)<\/b> с именем домена, иначе современные браузеры откажутся считать сертификат валидным.<\/p>\n В папке `certs` появятся два файла:<\/p>\n Что произойдёт при открытии сайта<\/b>: браузер покажет предупреждение, что сертификат не является доверенным. Это ожидаемое поведение — вы можете принять исключение для домена `marimo.localhost`. В продакшене предупреждения не будет, так как сертификаты Let’s Encrypt автоматически доверенные.<\/p>\n Traefik поддерживает разделение конфигурации на статическую<\/b> (точки входа, провайдеры) и динамическую<\/b> (маршруты, сертификаты). Мы создадим обе через блоки `template` в задании Nomad.<\/p>\n Добавим точку входа `websecure` на порту 8443 и настроим автоматический редирект с HTTP на HTTPS:<\/p>\n Ключевые моменты:<\/b><\/p>\n Здесь мы описываем сам сертификат:<\/p>\n Обратите внимание, что здесь используются абсолютные пути<\/b>. Это работает, потому что мы запускаем Traefik через `raw_exec` — процесс работает прямо на хосте и имеет доступ ко всем файлам.<\/p>\n Вот итоговый файл `traefik.nomad` с обеими конфигурациями:<\/p>\n В задании `marimo-job.nomad` нужно переключить сервис на точку входа `websecure` и включить TLS:<\/p>\n Что изменилось:<\/b><\/p>\n Перезапустите оба задания:<\/p>\n Откройте в браузере:<\/p>\n Браузер покажет предупреждение о недоверенном сертификате. Нажмите «Дополнительно» → «Перейти на marimo.localhost (небезопасно)» или добавьте сертификат в системный раздел доверенных сертов (в macOS это делается через «Связка ключей»).<\/p>\n Если вы попробуете открыть `http:\/\/marimo.localhost:8080<\/a>`, Traefik автоматически перенаправит вас на HTTPS.<\/p>\n Причина:<\/b> незакрытые блоки `{ ... }` в HCL-файле.<\/p>\n Решение:<\/b> внимательно проверьте, что все блоки `job`, `group`, `task`, `config`, `template` закрыты. В HCL отступы не важны, но фигурные скобки — критичны.<\/p>\n Причина:<\/b> конфигурация скопирована из задания для `docker` (с полями `image`, `volumes`, `network_mode`), но применён драйвер `raw_exec`.<\/p>\n Решение:<\/b> для `raw_exec` используйте поля `command` и `args`. Файлы конфигурации создавайте через `template`.<\/p>\n Причина:<\/b> драйвер `raw_exec` работает напрямую с процессами хоста и не поддерживает монтирование томов.<\/p>\n Решение:<\/b> используйте абсолютные пути<\/b> к файлам (как мы сделали в динамической конфигурации). Или переходите на драйвер `docker`\/`podman` — там `volume_mount` работает штатно.<\/p>\n Причина:<\/b> имя точки входа в тегах сервиса не совпадает с именем в статической конфигурации Traefik.<\/p>\n Решение:<\/b> убедитесь, что в конфиге есть блок `[entryPoints.websecure]`, а в тегах указано `traefik.http.routers.marimo.entrypoints=websecure`.<\/p>\n Мы добавили HTTPS в наш стек. Теперь архитектура выглядит так:<\/p>\n В продакшене достаточно заменить пути к сертификатам и указать Traefik получать их автоматически от Let’s Encrypt — структура конфигурации останется той же. Мы разберём это в следующей части.<\/p>\n",
"date_published": "2026-09-29T00:02:00+03:00",
"date_modified": "2026-09-28T23:51:44+03:00",
"tags": [
"Dev",
"DevOps",
"IT"
],
"image": "https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.38.21.png",
"_date_published_rfc2822": "Tue, 29 Sep 2026 00:02:00 +0300",
"_rss_guid_is_permalink": "false",
"_rss_guid": "358",
"_rss_enclosures": [],
"_e2_data": {
"is_favourite": false,
"links_required": [
"highlight\/highlight.js",
"highlight\/highlight.css"
],
"og_images": [
"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.38.21.png",
"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-28-v-23.49.01.png"
]
}
},
{
"id": "357",
"url": "https:\/\/gavrilov.info\/all\/chast-2-balansirovka-nagruzki-i-servis-diskaveri-s-consul-i-trae\/",
"title": "Часть 2: Балансировка нагрузки и сервис-дискавери с Consul и Traefik для Marimo",
"content_html": " В первой части мы развернули приложение Marimo через Nomad, используя драйвер `raw_exec` и динамические порты. Приложение работало, но у него был существенный недостаток: каждая реплика была доступна по отдельному порту, а пользователю приходилось вручную искать актуальный адрес. Кроме того, отсутствовала отказоустойчивость — при падении одной реплики трафик не перераспределялся.<\/p>\n Первая часть тут HashiCorp Nomad: развертывание интерактивного Python-приложения на macOS<\/a><\/p>\n В этой статье мы решим эти проблемы с помощью Consul<\/b> (сервис-дискавери) и Traefik<\/b> (балансировщик нагрузки). Мы также настроим липкие сессии<\/b> (sticky sessions), которые критически важны для stateful-приложений, таких как Marimo.<\/p>\n Итоговая архитектура:<\/p>\n Убедитесь, что у вас есть:<\/p>\n Проверьте пути:<\/p>\n Откройте отдельный терминал и запустите Consul:<\/p>\n Consul будет доступен по адресу `http:\/\/127.0.0.1:8500<\/a>`. Оставьте терминал открытым.<\/p>\n Важно:<\/b> Consul должен быть запущен до<\/b> того, как вы запустите Nomad с интеграцией с Consul, иначе сервисы не зарегистрируются.<\/p>\n Мы добавим в задание блок `service`, который зарегистрирует приложение в Consul и снабдит его тегами для Traefik. Также включим липкие сессии<\/b>, чтобы запросы одного пользователя всегда попадали на одну и ту же реплику.<\/p>\n Создайте файл `marimo-job.nomad`:<\/p>\n Что изменилось:<\/b><\/p>\n Примечание про домен `.localhost`<\/b><\/p>\n В примере используется домен `marimo.localhost`. Добавлять его в `\/etc\/hosts` не нужно<\/b> — имена, заканчивающиеся на `.localhost`, автоматически резолвятся в `127.0.0.1` согласно стандарту RFC 6761<\/b> (раздел 6.3) и RFC 6762<\/b>. Это поведение поддерживается:<\/p>\n Именно поэтому `http:\/\/marimo.localhost:8080<\/a>` будет работать «из коробки» без правки системных файлов.<\/p>\n Когда `\/etc\/hosts` всё-таки понадобится:<\/b><\/p>\n Если вы хотите использовать другое имя — например, `marimo.dev`, `marimo.internal` или реальный домен вроде `marimo.example.com`, — тогда запись нужна:<\/p>\n Для локальной разработки и тестирования домен `.localhost` — самый удобный вариант: он не требует никаких дополнительных настроек и работает одинаково на любой машине.<\/p>\n Traefik будет запущен через `raw_exec`. Конфигурационный файл создаётся динамически с помощью шаблона Nomad.<\/p>\n Создайте файл `traefik.nomad`:<\/p>\n Ключевые моменты:<\/b><\/p>\n Убедитесь, что Consul и Nomad запущены в отдельных терминалах.<\/p>\n Затем в терминале, где вы работаете с заданиями:<\/p>\n Проверьте статус:<\/p>\n В процессе настройки мы столкнулись с несколькими типичными проблемами. Вот они и способы их устранения.<\/p>\n Причина:<\/b> в тегах сервиса указана точка входа `web`, а в конфигурации Traefik она называется иначе (например, `http`).<\/p>\n Решение:<\/b> приведите имена к единому виду. В нашем случае мы переименовали точку входа в конфиге Traefik в `web`:<\/p>\n И в тегах указали `traefik.http.routers.marimo.entrypoints=web`.<\/p>\n Причина:<\/b> отсутствие липких сессий. Marimo — stateful-приложение, оно хранит сессию на конкретной реплике. Если запросы распределяются случайно, браузер попадает на разные реплики, и сессия теряется.<\/p>\n Решение:<\/b> добавьте тег `traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true`. Traefik установит cookie и будет направлять все запросы от одного браузера на одну и ту же реплику.<\/p>\n Причина:<\/b> конфигурация написана для драйвера `docker` (с полями `image`, `volumes`, `network_mode`), но применён `raw_exec`.<\/p>\n Решение:<\/b> для `raw_exec` используйте `command` и `args`. Файлы конфигурации создавайте через `template`. Пример для Traefik приведён выше.<\/p>\n Причина:<\/b> в некоторых сборках Nomad драйвер `raw_exec` отключён по умолчанию.<\/p>\n Решение:<\/b> добавьте в конфигурацию клиента Nomad (например, `\/etc\/nomad.d\/nomad.hcl`):<\/p>\n и перезапустите агент Nomad, но в моем случае это не понадобилось.<\/p>\n Мы добавили к нашему приложению Marimo два важных компонента:<\/p>\nmkdir -p ~\/marimo-app\/certs && cd ~\/marimo-app\/certs\n\nopenssl req -x509 -nodes -days 365 \\\n -newkey rsa:2048 \\\n -keyout marimo.localhost.key \\\n -out marimo.localhost.crt \\\n -subj "\/CN=marimo.localhost" \\\n -addext "subjectAltName=DNS:marimo.localhost"<\/code><\/pre>\n
\nШаг 2: Обновление конфигурации Traefik<\/h3>\n
Статическая конфигурация<\/h4>\n
[entryPoints]\n [entryPoints.web]\n address = ":8080"\n [entryPoints.web.http.redirections.entryPoint]\n to = "websecure"\n scheme = "https"\n permanent = true\n\n [entryPoints.websecure]\n address = ":8443"\n\n [entryPoints.traefik]\n address = ":8081"\n\n[api]\n dashboard = true\n insecure = true\n\n[providers.consulCatalog]\n prefix = "traefik"\n exposedByDefault = false\n\n [providers.consulCatalog.endpoint]\n address = "127.0.0.1:8500"\n scheme = "http"\n\n[providers.file]\n filename = "${NOMAD_TASK_DIR}\/dynamic.toml"\n watch = true<\/code><\/pre>\n
Динамическая конфигурация<\/h4>\n
[tls]\n [tls.stores]\n [tls.stores.default]\n [tls.stores.default.defaultCertificate]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"\n\n [[tls.certificates]]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"<\/code><\/pre>
\nШаг 3: Полное задание Traefik<\/h3>\n
job "traefik" {\n region = "global"\n datacenters = ["dc1"]\n type = "service"\n\n group "traefik" {\n count = 1\n\n network {\n port "http" {\n static = 8080\n }\n port "api" {\n static = 8081\n }\n }\n\n service {\n name = "traefik"\n check {\n name = "alive"\n type = "tcp"\n port = "http"\n interval = "10s"\n timeout = "2s"\n }\n }\n\n task "traefik" {\n driver = "raw_exec"\n\n # Статическая конфигурация Traefik\n template {\n data = <<EOF\n[entryPoints]\n [entryPoints.web]\n address = ":8080"\n [entryPoints.web.http.redirections.entryPoint]\n to = "websecure"\n scheme = "https"\n permanent = true\n\n [entryPoints.websecure]\n address = ":8443"\n\n [entryPoints.traefik]\n address = ":8081"\n\n[api]\n dashboard = true\n insecure = true\n\n[providers.consulCatalog]\n prefix = "traefik"\n exposedByDefault = false\n\n [providers.consulCatalog.endpoint]\n address = "127.0.0.1:8500"\n scheme = "http"\n\n[providers.file]\n filename = "${NOMAD_TASK_DIR}\/dynamic.toml"\n watch = true\nEOF\n destination = "local\/traefik.toml"\n }\n\n # Динамическая конфигурация: сертификаты по абсолютному пути\n template {\n data = <<EOF\n[tls]\n [tls.stores]\n [tls.stores.default]\n [tls.stores.default.defaultCertificate]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"\n\n [[tls.certificates]]\n certFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.crt"\n keyFile = "\/Users\/yuriygavrilov\/marimo-app\/certs\/marimo.localhost.key"\nEOF\n destination = "local\/dynamic.toml"\n }\n\n config {\n command = "\/usr\/local\/bin\/traefik"\n args = [\n "--configfile",\n "${NOMAD_TASK_DIR}\/traefik.toml"\n ]\n }\n\n resources {\n cpu = 100\n memory = 128\n }\n }\n }\n}<\/code><\/pre>
\nШаг 4: Обновление тегов Marimo<\/h3>\n
service {\n name = "marimo-app"\n port = "http"\n tags = [\n "traefik.enable=true",\n "traefik.http.routers.marimo.rule=Host(`marimo.localhost`)",\n "traefik.http.routers.marimo.entrypoints=websecure",\n "traefik.http.routers.marimo.tls=true",\n "traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true",\n ]\n check {\n type = "http"\n path = "\/"\n interval = "2s"\n timeout = "2s"\n }\n}<\/code><\/pre>\n
\nШаг 5: Запуск и проверка<\/h3>\n
nomad job stop traefik\nnomad job run traefik.nomad\nnomad job run marimo-job.nomad<\/code><\/pre>https:\/\/marimo.localhost:8443<\/code><\/pre>\n<\/div>\n\n<\/div>\n
\nВозможные ошибки и их решения<\/h3>\n
Ошибка: `Unclosed configuration block`<\/h4>\n
Ошибка: `Missing required argument: “command”` при `raw_exec`<\/h4>\n
Ошибка: `volume_mount` не поддерживается драйвером `raw_exec`<\/h4>\n
Ошибка: `entryPoint “websecure” doesn’t exist`<\/h4>\n
\nИтог<\/h3>\n
Пользователь (HTTPS)\n │\n ▼\n Traefik ──► Marimo 1 \/ 2 \/ 3\n(8443) │\n │ ▼\n └─────────► Consul\n ▲\n │\n Nomad Cluster<\/code><\/pre>\n
\n<\/div>\n
\nЗачем нужны Consul и Traefik?<\/h3>\n
\n
Пользователь\n │\n ▼\n Traefik ──► Marimo 1 \/ 2 \/ 3\n(балансировщик) │\n │ ▼\n └──────────► Consul\n ▲\n │\n Nomad Cluster<\/code><\/pre>
\nПредварительные требования<\/h3>\n
\n
Установка Consul<\/h4>\n
brew tap hashicorp\/tap\nbrew install hashicorp\/tap\/consul<\/code><\/pre>Установка Traefik<\/h4>\n
brew install traefik<\/code><\/pre>which consul # \/usr\/local\/bin\/consul\nwhich traefik # \/usr\/local\/bin\/traefik<\/code><\/pre>
\nШаг 1: Запуск Consul в режиме разработки<\/h3>\n
consul agent -dev -bind=0.0.0.0 -client=0.0.0.0<\/code><\/pre>
\nШаг 2: Обновление задания Marimo<\/h3>\n
job "marimo-app" {\n datacenters = ["dc1"]\n type = "service"\n\n group "app" {\n count = 3\n\n network {\n port "http" {}\n }\n\n service {\n name = "marimo-app"\n port = "http"\n tags = [\n "traefik.enable=true",\n "traefik.http.routers.marimo.rule=Host(`marimo.localhost`)",\n "traefik.http.routers.marimo.entrypoints=web",\n "traefik.http.services.marimo-app.loadbalancer.sticky.cookie=true",\n ]\n check {\n type = "http"\n path = "\/"\n interval = "2s"\n timeout = "2s"\n }\n }\n\n task "marimo" {\n driver = "raw_exec"\n\n config {\n command = "\/Users\/yuriygavrilov\/marimo-app\/.venv\/bin\/marimo"\n args = [\n "run", "app.py",\n "--headless",\n "--port", "${NOMAD_PORT_http}",\n "--host", "0.0.0.0"\n ]\n work_dir = "\/Users\/yuriygavrilov\/marimo-app"\n }\n\n resources {\n cpu = 500\n memory = 256\n }\n }\n }\n}<\/code><\/pre>\n
\n
\n\n
echo "127.0.0.1 marimo.dev" | sudo tee -a \/etc\/hosts<\/code><\/pre>
\nШаг 3: Создание задания для Traefik<\/h3>\n
job "traefik" {\n region = "global"\n datacenters = ["dc1"]\n type = "service"\n\n group "traefik" {\n count = 1\n\n network {\n port "http" {\n static = 8080\n }\n port "api" {\n static = 8081\n }\n }\n\n service {\n name = "traefik"\n check {\n name = "alive"\n type = "tcp"\n port = "http"\n interval = "10s"\n timeout = "2s"\n }\n }\n\n task "traefik" {\n driver = "raw_exec"\n\n # Создаём конфигурационный файл Traefik через шаблон\n template {\n data = <<EOF\n[entryPoints]\n [entryPoints.web]\n address = ":8080"\n [entryPoints.traefik]\n address = ":8081"\n\n[api]\n dashboard = true\n insecure = true\n\n# Включаем Consul Catalog Provider\n[providers.consulCatalog]\n prefix = "traefik"\n exposedByDefault = false\n\n [providers.consulCatalog.endpoint]\n address = "127.0.0.1:8500"\n scheme = "http"\nEOF\n destination = "local\/traefik.toml"\n }\n\n config {\n command = "\/usr\/local\/bin\/traefik"\n args = [\n "--configfile",\n "${NOMAD_TASK_DIR}\/traefik.toml"\n ]\n }\n\n resources {\n cpu = 100\n memory = 128\n }\n }\n }\n}<\/code><\/pre>\n
\nШаг 4: Запуск всех компонентов<\/h3>\n
cd ~\/marimo-app\n\n# Запускаем приложение\nnomad job run marimo-job.nomad\n\n# Запускаем Traefik\nnomad job run traefik.nomad<\/code><\/pre>nomad job status marimo-app\nnomad job status traefik<\/code><\/pre>
\nШаг 5: Проверка работы<\/h3>\n
\n
\n
\n
\nВозможные ошибки и их решения<\/h3>\n
Ошибка 1: `EntryPoint doesn’t exist entryPointName=web`<\/h4>\n
[entryPoints]\n [entryPoints.web]\n address = ":8080"<\/code><\/pre>Ошибка 2: `Invalid session id: s_bpy8u7`<\/h4>\n
Ошибка 3: `Missing required argument: “command”` при использовании `raw_exec`<\/h4>\n
Ошибка 4: `raw_exec` отключён<\/h4>\n
plugin "raw_exec" {\n config {\n enabled = true\n }\n}<\/code><\/pre>
\nИтог<\/h3>\n
![\"\"](\"https:\/\/gavrilov.info\/pictures\/Snimok-ekrana-2026-09-26-v-21.45.50.png\")
\n<\/div>\n