Docker Swarm과 Traefik을 활용한 MSA 아키텍처 설계 방식

안녕하세요.
Docker Swarm 기반 마이크로서비스 아키텍처(MSA)를 구성 중입니다. 처음에는 Traefik을 이용해 모든 내부 마이크로서비스를 거치도록 (즉, serviceA가 serviceB를 호출할 때도 Traefik을 통해서만 통신) 운영하려고 했습니다. 그런데 그렇게 할 경우 아래와 같은 문제가 예상됩니다:

1. 성능/오버헤드

   • 모든 내부 트래픽이 Traefik을 중간에 두고 오가므로, 네트워크 홉이 추가됩니다.

   • Keep-Alive 연결이 많아지고, Traefik이 병목이 될 가능성이 있음.

2. 복잡한 설정

   • 내부 수많은 서비스가 각각 Traefik의 라우터/서비스 규칙을 가져야 하므로 라벨 설정이 매우 복잡해질 수 있음.

   • Path/Host 기반 라우팅 규칙도 내부 API 전부에 대해 관리해야 하므로 관리 부담 증가.

3. 인증/인가가 불필요한 내부 통신

   • 외부 노출이 전혀 필요 없는 내부 서비스 등까지도 Traefik을 거치는 것은 과도할 수 있음.

      

      

이러한 이유로, Traefik이 모든 트래픽을 일괄 처리하는 대신, 내부 통신은 Docker Swarm 로드밸런싱으로 처리하고, 외부 트래픽(HTTPS/도메인/인증서)은 Traefik에 맡기는 구조로 변경하려고 합니다. 구체적으로는,

1. Docker Swarm

   • service 간에는 “user-service:8001” 식으로 연결 → Swarm 라운드 로빈

   • Keep-Alive나 오토스케일 시 컨테이너가 늘어나면 Swarm이 자동 분산

2. Traefik

   • 오직 외부 접근이 필요한 Gateway나 public API에 대해서만 라벨(traefik.enable=true) 적용

   • HTTPS 인증서, Path/Host 라우팅, 미들웨어(인증/인가, IP 제한)를 외부 경계에서만 적용

   • 내부적으로는 Swarm에 맡기고, Traefik은 외부→Gateway(혹은 외부→공개 서비스)만 처리

3. 네트워크 분리

   • “public-net”: Traefik, Gateway 등 외부 노출이 필요한 서비스

   • “backend-net”: user-service 등 내부용 서비스만 존재, 외부와 직접 연결되지 않음

궁금한 점

1. 위와 같은 구조(외부는 Traefik, 내부는 Swarm + 네트워크 분리)가 흔히 권장되는 방식인가요?

2. 내부 서비스까지 Traefik을 거치는 구조가 과연 득보다 실이 많을지, 실제 운영 사례가 궁금합니다.

    

3. 보안 측면에서 “Traefik + Swarm ” 방식을 쓸 때 주의해야 할 점이나, 더 권장되는 패턴이 있으면 알려주세요!
   
   감사합니다.