Portless Remote Development: Merancang Koneksi Lokal ke Remote Server via Traefik & SSH

Masalah: Mengekspos Port di Remote Server itu Berbahaya

Bagi banyak developer yang bekerja menggunakan Remote Server (VPS atau Dedicated Hosting) sebagai mesin komputasi utamanya, Docker Compose adalah sahabat karib. Kita sering kali mendefinisikan kontainer Node.js, SvelteKit, atau Next.js dan mengekspos portnya secara blak-blakan ke 0.0.0.0:

# ❌ PRAKTIK BURUK DI REMOTE SERVER
services:
  app:
    image: my-app:dev
    ports:
      - "3000:3000" # Terekspos ke seluruh internet!

Praktik ini mungkin aman jika dilakukan di laptop lokal (Mac/Windows). Namun di environment Remote Server, mengekspos port 3000 (atau 9000 untuk database/MinIO) ke IP publik server berarti membuka celah keamanan bagi bot scanner dari seluruh dunia untuk mencoba masuk.

Sebagian orang mengakalinya dengan mengatur konfigurasi Nginx Reverse Proxy berlapis-lapis untuk lingkungan dev. Masalahnya? Sangat melelahkan untuk selalu membuat file virtual host (NGINX config) tiap kali memutar repo baru.

Bagaimana jika kita bisa memiliki pengalaman portless (akses murni lewat domain seperti http://app-dev.localhost) dari laptop lokal kita, tanpa harus mengekspos satupun port ke internet publik?

Solusi: Traefik + Docker Labels + SSH Port Forwarding

Ilustrasi Arsitektur Portless Remote Server menggunakan SSH Pipeline dan Traefik Proxy node.

Arsitekturnya bekerja melalui mekanisme 3 Langkah:

1. Traefik sebagai Dev-Proxy: Kita akan menjalankan container Traefik di remote server yang HANYA di-bind ke alamat internal localhost server (127.0.0.1:8080).
2. Docker Labels: Alih-alih menulis Nginx config, kita biarkan Traefik membaca metada (label) dari docker-compose untuk mengetahui kontainer mana yang melayani domain apa.
3. SSH Port Forwarding: Kita akan “menggali terowongan” dari laptop Windows/Mac kita langsung menuju 127.0.0.1:8080 milik remote server.

Mari kita bongkar implementasinya!

1. Menyiapkan docker-compose.dev.yml

Kita buang semua definisi port publik dari Service kita, lalu kita suntikkan dev-proxy.

services:
  # 1. Traefik Proxy - Hanya dengarkan Localhost Server!
  dev-proxy:
    image: traefik:v3.0
    container_name: dev-proxy
    command:
      - "--api.insecure=false"
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      - "--entrypoints.web.address=:80"
    ports:
      # KUNCI KEAMANAN: Bind ke 127.0.0.1, bukan 0.0.0.0!
      - "127.0.0.1:8080:80"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro

  # 2. Aplikasi SvelteKit/Next.js Anda
  app:
    image: node:22-alpine
    command: npm run dev
    # TIDAK ADA BLOK PORTS SAMA SEKALI
    labels:
      - "traefik.enable=true"
      # Definisi aturan routing host
      - "traefik.http.routers.app-dev.rule=Host(`my-app-dev.localhost`)"
      # Beritahu Traefik port internal container
      - "traefik.http.services.app-dev.loadbalancer.server.port=3000"

  # 3. MinIO (S3 Local Emulator) - Bukti kehebatan Traefik
  minio:
    image: minio/minio:latest
    command: server /data --console-address ":9001"
    # TIDAK ADA BLOK PORTS
    labels:
      - "traefik.enable=true"
      # Route untuk Dashboard MinIO
      - "traefik.http.routers.minio-console.rule=Host(`minio.localhost`)"
      - "traefik.http.services.minio-console.loadbalancer.server.port=9001"
      # Route untuk API S3
      - "traefik.http.routers.minio-api.rule=Host(`s3.localhost`)"
      - "traefik.http.services.minio-api.loadbalancer.server.port=9000"

Jika Anda menjalankan docker compose up -d dari file ini di remote server, kontainer-kontainer ini akan hidup dengan aman. Publik internet (atau bahkan IP server Anda di port 80/3000) tidak akan memberikan respon apa-apa.

2. Mengatur “Hosts” di Mesin Lokal Anda

Kini berpindahlah ke laptop lokal Anda (Mac, Linux, atau Windows). Agar browser bisa menerjemahkan alamat .localhost maya kita, tambahkan baris ini ke file hosts Anda.

• Di Windows: C:\Windows\System32\drivers\etc\hosts (Buka dengan Notepad As Admin)
• Di MacOS/Linux: sudo nano /etc/hosts

Tambahkan baris berikut:

127.0.0.1  my-app-dev.localhost
127.0.0.1  minio.localhost
127.0.0.1  s3.localhost

3. Membangun “Terowongan” Gaib (SSH Port Forwarding)

Langkah terakhir sekaligus yang paling mengesankan. Kita harus memberitahu laptop kita untuk mengirimkan trafik localhost-nya langsung ke Traefik di remote server.

Buka terminal di mesin lokal Anda (VSCode Terminal/Powershell/Terminal), dan eksekusi:

ssh -L 80:127.0.0.1:8080 user@IP_REMOTE_SERVER_ANDA

Apa makna mantra di atas? (Hey mesin lokalku, jika ada browser yang mencoba mengakses port 80 di localhost-mu, segera bungkus datanya, lewati enkripsi SSH, dan serahkan pelan-pelan ke 127.0.0.1:8080 (milik Traefik) si remote server).

Biarkan terminal ini terbuka di background.

4. Rasakan Pengalaman “Portless”

Buka browser favorit Anda (Chrome/Brave/Arc), dan ketikkan secara elegan:

• http://my-app-dev.localhost
• http://minio.localhost

Tresss! Anda langsung menembus antarmuka SvelteKit dev atau MinIO Console Anda tanpa harus mengetik angka port jelek seperti :3000 atau :9001, dan tanpa server Anda menjadi makanan empuk para hacker pencari port terbuka.

Bahkan Hot Module Replacement (HMR) dan WebSockets Vite akan tetap berfungsi seratus persen sempurna karena Traefik dan koneksi SSH meneruskannya secara transparan.

Kesimpulan

Bagi mereka yang menjadikan Remote Server sebagai Development Engine utama, mengintegrasikan Traefik dengan binding eksplisit spesifik-localhost (127.0.0.1) dipadu dengan SSH Tunnels adalah solusi paripurna (End-game architecture).

Kini, Anda bisa melabeli ratusan kontainer mikroservis baru di remote server Anda (Redis Insight, PgAdmin, puluhan web app) dan mereplika nama domain kerennya hanya dalam hitungan detik—tanpa pernah menyentuh Nginx Host.

Selamat mencoba, dan jangan lupa tutup SSH Tunnel Anda jika sudah selesai ngoding!