Hotdry.
归档
systems-engineering

Traefik 动态多协议代理：Kubernetes CRD 零配置服务网格实践

Traefik 实现动态服务发现、多协议代理与自动 TLS，实现 Kubernetes 零配置服务网格的关键参数与实践。

在微服务架构中，反向代理需应对服务动态伸缩、多协议共存与零信任安全。Traefik 通过监听 Kubernetes API 与 CRD，实现 HTTP/3、TCP、UDP、gRPC 等协议的动态代理链，支持自动 Let's Encrypt TLS，形成零配置服务网格。

Traefik 的动态服务发现是其核心优势。不同于静态配置的 Nginx，Traefik 实时监听 orchestrator 如 Kubernetes 的服务事件，自动生成路由规则，无需重启进程。官方文档指出，Traefik 集成 Docker、Kubernetes CRD、Consul 等提供者，容器启动即秒级上线路由。在 Kubernetes 中，使用 IngressRoute CRD 定义路由：

apiVersion: traefik.io/v1alpha1
kind: IngressRoute
metadata:
  name: grpc-route
spec:
  entryPoints:
    - websecure
  routes:
    - match: PathPrefix(`/grpc`)
      kind: Rule
      services:
        - name: grpc-service
          port: 50051
  tls:
    certResolver: letsencrypt

此配置匹配 /grpc 路径，代理到后端 gRPC 服务，并启用 TLS。该 CRD 支持 Host/Path/Header 复杂匹配，实现蓝绿部署与金丝雀流量。

多协议代理是 Traefik 的另一亮点。支持 L4/L7 路由：HTTP/3 (QUIC) 用于低延迟，TCP/UDP 代理数据库 / 游戏服务，gRPC 需指定 h2c:// 或 TLS 端点。配置 TCP 路由示例（IngressRouteTCP）：

apiVersion: traefik.io/v1alpha1
kind: IngressRouteTCP
metadata:
  name: tcp-route
spec:
  entryPoints:
    - tcp-6379
  routes:
    - match: HostSNI(`*`)
      services:
        - name: redis-service
          port: 6379

监听 6379 端口，代理 Redis TCP 流量。UDP 类似，用于 DNS 等。Traefik 统一入口点管理多协议，避免多代理部署。

自动 TLS 通过 Let's Encrypt ACME 实现零配置证书。静态配置中定义：

certificatesResolvers:
  letsencrypt:
    acme:
      email: admin@example.com
      storage: acme.json
      httpChallenge:
        entryPoint: web

首次访问域名，Traefik 自动申请 wildcard 证书，每 30 天续期，支持 HTTP-01/DNS-01 挑战。结合 Cert-Manager CRD，进一步自动化 Kubernetes 证书轮换。

工程化落地参数至关重要。负载均衡默认 WRR（加权轮询），配置权重实现 90% 稳定版 + 10% 金丝雀：

services:
  stable:
    loadBalancer:
      servers:
        - url: "http://v1:8080"
      weight: 90
  canary:
    loadBalancer:
      servers:
        - url: "http://v2:8080"
      weight: 10

中间件清单：ratelimit（每 IP 100r/s）、circuitbreaker（错误率 > 50% 熔断 30s）、retry（3 次，超时 5s）、ipwhitelist。示例链：

middlewares:
  - ratelimit@file
  - circuitbreaker@docker

监控要点：暴露 Prometheus metrics（/metrics），关键指标 traefik_entrypoint_requests_total、service_request_duration_seconds。Dashboard（:8080/dashboard）实时查看路由健康。阈值：P99 延迟 < 10ms，内存每万路由增 50MB。

风险控制：大规模（>1 万路由）调优 --providers.kubernetescrd.throttleDuration=10s，启用 --accesslog 排查动态变更。回滚：固定 file provider 备份配置，灰度 CRD 更新。高可用：Deployment replicas=3+，结合 HPA 自动扩缩。

Traefik 将代理从运维负担转为基础设施代码，实现真正零配置服务网格。通过以上参数与清单，生产环境可快速上线多协议代理链。

资料来源：

查看归档