Traefik 教程
1. 核心概念
Traefik 是一款现代的反向代理和负载均衡器，专为容器环境设计，具有自动服务发现、动态配置和丰富的集成功能。它支持多种后端，如 Docker、Kubernetes、Consul 等，可以自动发现和配置服务。
1.1 基本概念
- 入口点（EntryPoint）：定义 Traefik 监听的端口。
- 路由器（Router）：负责将请求路由到合适的服务。
- 服务（Service）：定义如何与后端服务通信。
- 后端（Backend）：实际处理请求的服务实例。
- 中间件（Middleware）：在请求处理过程中执行的逻辑，如认证、重定向、限流等。
- 提供商（Provider）：服务发现的来源，如 Docker、Kubernetes、Consul 等。
- TLS 配置：处理 HTTPS 请求的配置。
- 自动发现：自动发现和配置服务，无需手动更新配置。
1.2 工作原理
- 服务发现：从配置的提供商（如 Docker、Kubernetes）中发现服务。
- 动态配置：根据发现的服务自动生成配置，无需手动更新。
- 请求处理：接收请求，根据配置的路由器和中间件处理请求，转发到后端服务。
- 健康检查：自动检查后端服务的健康状态，排除故障服务。
- 负载均衡：在多个后端服务实例之间分发请求。
2. 安装配置
2.1 安装 Traefik
2.1.1 使用 Docker 安装
# 创建网络
docker network create traefik-net
# 运行 Traefik
docker run -d \n --name traefik \n --network traefik-net \n -p 80:80 \n -p 443:443 \n -p 8080:8080 \n -v /var/run/docker.sock:/var/run/docker.sock \n -v $PWD/traefik.yml:/etc/traefik/traefik.yml \n -v $PWD/acme.json:/acme.json \n --restart unless-stopped \n traefik:v2.92.1.2 使用 Kubernetes 安装
使用 Helm 安装：
# 添加 Traefik Helm 仓库
helm repo add traefik https://helm.traefik.io/traefik
# 更新 Helm 仓库
helm repo update
# 安装 Traefik
helm install traefik traefik/traefik2.1.3 从二进制安装
从 Traefik 官方网站 下载适合您系统的二进制文件，解压后即可使用。
2.2 基本配置
2.2.1 配置文件示例
traefik.yml：
# 全局配置
global:
checkNewVersion: true
sendAnonymousUsage: false
# 入口点配置
entryPoints:
web:
address: ":80"
http:
redirections:
entryPoint:
to: websecure
scheme: https
websecure:
address: ":443"
# TLS 配置
tls:
stores:
default:
defaultCertificate:
certFile: /etc/traefik/certs/cert.pem
keyFile: /etc/traefik/certs/key.pem
certificatesResolvers:
letsencrypt:
acme:
email: admin@example.com
storage: acme.json
httpChallenge:
entryPoint: web
# 提供商配置
providers:
docker:
endpoint: "unix:///var/run/docker.sock"
exposedByDefault: false
network: traefik-net
file:
directory: /etc/traefik/dynamic
watch: true
# 仪表板配置
api:
dashboard: true
insecure: true
# 日志配置
log:
level: INFO
# 访问日志配置
accessLog:
filePath: "/var/log/traefik/access.log"
format: json2.2.2 动态配置
dynamic/config.yml：
# 服务配置
http:
services:
backend-service:
loadBalancer:
servers:
- url: http://backend1:8080
- url: http://backend2:8080
# 路由器配置
routers:
backend-router:
rule: "Host(`backend.example.com`)"
service: backend-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
# 中间件配置
middlewares:
auth:
basicAuth:
users:
- "admin:$apr1$xxxxxxxx$xxxxxxxxxxxxxxxxxxxxxxxxxx"
redirect-https:
redirectScheme:
scheme: https
permanent: true2.3 启动和验证
# 启动 Traefik
docker start traefik
# 查看 Traefik 日志
docker logs traefik
# 访问仪表板
# http://localhost:8080/dashboard/
# 验证配置
traefik check --configfile=traefik.yml3. 基本使用
3.1 Docker 集成
示例：使用 Docker 标签配置服务
# 运行一个带有 Traefik 标签的服务
docker run -d \n --name whoami \n --network traefik-net \n -l "traefik.enable=true" \n -l "traefik.http.routers.whoami.rule=Host(`whoami.example.com`)" \n -l "traefik.http.routers.whoami.entrypoints=websecure" \n -l "traefik.http.routers.whoami.tls.certresolver=letsencrypt" \n -l "traefik.http.services.whoami.loadbalancer.server.port=80" \n containous/whoami3.2 Kubernetes 集成
示例：使用 Kubernetes 注解配置服务
apiVersion: apps/v1
kind: Deployment
metadata:
name: whoami
spec:
replicas: 2
selector:
matchLabels:
app: whoami
template:
metadata:
labels:
app: whoami
spec:
containers:
- name: whoami
image: containous/whoami
ports:
- containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
name: whoami
annotations:
traefik.ingress.kubernetes.io/router.entrypoints: websecure
traefik.ingress.kubernetes.io/router.tls.certresolver: letsencrypt
spec:
selector:
app: whoami
ports:
- port: 80
targetPort: 80
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: whoami
annotations:
kubernetes.io/ingress.class: traefik
spec:
rules:
- host: whoami.example.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: whoami
port:
number: 803.3 基本路由配置
示例：基本路由配置
http:
routers:
# 基本路由
app-router:
rule: "Host(`app.example.com`)"
service: app-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
services:
# 基本服务
app-service:
loadBalancer:
servers:
- url: http://app:80803.4 TLS 配置
示例：TLS 配置
tls:
stores:
default:
defaultCertificate:
certFile: /etc/traefik/certs/cert.pem
keyFile: /etc/traefik/certs/key.pem
certificatesResolvers:
letsencrypt:
acme:
email: admin@example.com
storage: acme.json
httpChallenge:
entryPoint: web
tlsChallenge: {}
letsencrypt-staging:
acme:
email: admin@example.com
storage: acme-staging.json
caServer: https://acme-staging-v02.api.letsencrypt.org/directory
httpChallenge:
entryPoint: web4. 高级功能
4.1 中间件配置
示例：中间件配置
http:
middlewares:
# 基本认证
auth:
basicAuth:
users:
- "admin:$apr1$xxxxxxxx$xxxxxxxxxxxxxxxxxxxxxxxxxx"
# 重定向
redirect-https:
redirectScheme:
scheme: https
permanent: true
# 限流
rate-limit:
rateLimit:
average: 100
burst: 200
# 压缩
compress:
compress:
config:
minimized: true
excludeContentTypes:
- "text/event-stream"
# 安全头
security-headers:
headers:
customResponseHeaders:
X-Frame-Options: "DENY"
X-Content-Type-Options: "nosniff"
X-XSS-Protection: "1; mode=block"
Content-Security-Policy: "default-src 'self'"
routers:
app-router:
rule: "Host(`app.example.com`)"
service: app-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
middlewares:
- auth
- security-headers4.2 负载均衡配置
示例：负载均衡配置
http:
services:
app-service:
loadBalancer:
# 负载均衡策略：roundRobin, leastConn, ipHash
method: leastConn
servers:
- url: http://app1:8080
- url: http://app2:8080
- url: http://app3:8080
# 健康检查
healthCheck:
path: /health
interval: "10s"
timeout: "3s"
scheme: http4.3 路由规则
示例：高级路由规则
http:
routers:
# 基于路径的路由
api-router:
rule: "Host(`api.example.com`) && PathPrefix(`/api`)"
service: api-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
# 基于方法的路由
post-router:
rule: "Host(`api.example.com`) && Method(`POST`)"
service: post-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
# 基于查询参数的路由
search-router:
rule: "Host(`example.com`) && Query(`q`)"
service: search-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
# 基于头的路由
mobile-router:
rule: "Host(`example.com`) && Header(`User-Agent`, `.*Mobile.*`)"
service: mobile-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt4.4 多提供商配置
示例：多提供商配置
providers:
# Docker 提供商
docker:
endpoint: "unix:///var/run/docker.sock"
exposedByDefault: false
network: traefik-net
# Kubernetes 提供商
kubernetesCRD:
enabled: true
# Consul 提供商
consul:
endpoint: "consul:8500"
exposedByDefault: false
# 文件提供商
file:
directory: /etc/traefik/dynamic
watch: true5. 最佳实践
5.1 配置最佳实践
- 使用环境变量：使用环境变量管理配置，避免硬编码敏感信息。
- 模块化配置：将配置分解为多个文件，提高可读性和可维护性。
- 使用文件提供商：对于静态配置，使用文件提供商，便于版本控制。
- 启用仪表板：启用仪表板，便于监控和故障排查。
- 配置日志：配置详细的日志，便于故障排查。
5.2 性能优化
- 启用压缩：启用响应压缩，减少传输数据量。
- 配置健康检查：合理配置健康检查，及时发现和排除故障服务。
- 选择合适的负载均衡策略：根据应用特性选择合适的负载均衡策略。
- 启用 HTTP/2：启用 HTTP/2，提高传输效率。
- 优化 TLS 配置：使用现代的 TLS 配置，启用会话复用。
5.3 安全最佳实践
- 使用 HTTPS：为所有服务启用 HTTPS。
- 使用 Let's Encrypt：使用 Let's Encrypt 自动管理 TLS 证书。
- 配置安全头：设置适当的安全头，如 X-Frame-Options、X-Content-Type-Options 等。
- 使用认证中间件：对敏感服务使用认证中间件。
- 限制访问：使用中间件限制对敏感路径的访问。
- 定期更新 Traefik：及时更新 Traefik 到最新版本，修复安全漏洞。
5.4 高可用配置
- 使用多个 Traefik 实例：部署多个 Traefik 实例，提高可用性。
- 使用负载均衡：在多个 Traefik 实例之间使用负载均衡。
- 配置共享存储：对于 TLS 证书等共享资源，使用共享存储。
- 使用 Kubernetes 部署：在 Kubernetes 中使用 Deployment 或 DaemonSet 部署 Traefik，提高可用性。
6. 实用应用案例
6.1 微服务架构中的 API 网关
场景：在微服务架构中，使用 Traefik 作为 API 网关，管理服务间的通信。
配置：
global:
checkNewVersion: true
sendAnonymousUsage: false
entryPoints:
web:
address: ":80"
http:
redirections:
entryPoint:
to: websecure
scheme: https
websecure:
address: ":443"
tls:
stores:
default:
defaultCertificate:
certFile: /etc/traefik/certs/cert.pem
keyFile: /etc/traefik/certs/key.pem
certificatesResolvers:
letsencrypt:
acme:
email: admin@example.com
storage: acme.json
httpChallenge:
entryPoint: web
providers:
kubernetesCRD:
enabled: true
file:
directory: /etc/traefik/dynamic
watch: true
api:
dashboard: true
insecure: false
log:
level: INFO
accessLog:
filePath: "/var/log/traefik/access.log"
format: json动态配置：
http:
services:
auth-service:
loadBalancer:
servers:
- url: http://auth-service:8080
user-service:
loadBalancer:
servers:
- url: http://user-service:8080
product-service:
loadBalancer:
servers:
- url: http://product-service:8080
order-service:
loadBalancer:
servers:
- url: http://order-service:8080
routers:
auth-router:
rule: "Host(`api.example.com`) && PathPrefix(`/auth`)"
service: auth-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
middlewares:
- security-headers
user-router:
rule: "Host(`api.example.com`) && PathPrefix(`/users`)"
service: user-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
middlewares:
- security-headers
product-router:
rule: "Host(`api.example.com`) && PathPrefix(`/products`)"
service: product-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
middlewares:
- security-headers
order-router:
rule: "Host(`api.example.com`) && PathPrefix(`/orders`)"
service: order-service
entryPoints:
- websecure
tls:
certResolver: letsencrypt
middlewares:
- security-headers
middlewares:
security-headers:
headers:
customResponseHeaders:
X-Frame-Options: "DENY"
X-Content-Type-Options: "nosniff"
X-XSS-Protection: "1; mode=block"
Content-Security-Policy: "default-src 'self'"6.2 Docker 环境中的反向代理
场景：在 Docker 环境中，使用 Traefik 作为反向代理，管理多个容器服务。
配置：
global:
checkNewVersion: true
sendAnonymousUsage: false
entryPoints:
web:
address: ":80"
http:
redirections:
entryPoint:
to: websecure
scheme: https
websecure:
address: ":443"
tls:
certificatesResolvers:
letsencrypt:
acme:
email: admin@example.com
storage: acme.json
httpChallenge:
entryPoint: web
providers:
docker:
endpoint: "unix:///var/run/docker.sock"
exposedByDefault: false
network: traefik-net
defaultRule: "Host(`{{ index .Labels 'com.docker.compose.service' }}.example.com`)"
api:
dashboard: true
insecure: true
log:
level: INFO
accessLog:
filePath: "/var/log/traefik/access.log"
format: json使用示例：
# docker-compose.yml
version: '3'
networks:
traefik-net:
external: true
services:
traefik:
image: traefik:v2.9
container_name: traefik
networks:
- traefik-net
ports:
- "80:80"
- "443:443"
- "8080:8080"
volumes:
- /var/run/docker.sock:/var/run/docker.sock
- ./traefik.yml:/etc/traefik/traefik.yml
- ./acme.json:/acme.json
restart: unless-stopped
whoami:
image: containous/whoami
container_name: whoami
networks:
- traefik-net
labels:
- "traefik.enable=true"
- "traefik.http.routers.whoami.rule=Host(`whoami.example.com`)"
- "traefik.http.routers.whoami.entrypoints=websecure"
- "traefik.http.routers.whoami.tls.certresolver=letsencrypt"
- "traefik.http.services.whoami.loadbalancer.server.port=80"
nginx:
image: nginx:alpine
container_name: nginx
networks:
- traefik-net
volumes:
- ./nginx/html:/usr/share/nginx/html
labels:
- "traefik.enable=true"
- "traefik.http.routers.nginx.rule=Host(`nginx.example.com`)"
- "traefik.http.routers.nginx.entrypoints=websecure"
- "traefik.http.routers.nginx.tls.certresolver=letsencrypt"
- "traefik.http.services.nginx.loadbalancer.server.port=80"6.3 Kubernetes 中的 Ingress 控制器
场景：在 Kubernetes 集群中，使用 Traefik 作为 Ingress 控制器，管理集群内的服务访问。
配置：
使用 Helm 安装 Traefik：
# 添加 Traefik Helm 仓库
helm repo add traefik https://helm.traefik.io/traefik
# 更新 Helm 仓库
helm repo update
# 安装 Traefik
helm install traefik traefik/traefik --namespace traefik --create-namespace
# 查看 Traefik pods
kubectl get pods -n traefik使用示例：
# ingress.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: app-ingress
namespace: default
annotations:
kubernetes.io/ingress.class: traefik
traefik.ingress.kubernetes.io/router.entrypoints: websecure
traefik.ingress.kubernetes.io/router.tls.certresolver: letsencrypt
spec:
rules:
- host: app.example.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: app-service
port:
number: 80
tls:
- hosts:
- app.example.com
---
apiVersion: v1
kind: Service
metadata:
name: app-service
namespace: default
spec:
selector:
app: app
ports:
- port: 80
targetPort: 8080
---
apiVersion: apps/v1
kind: Deployment
metadata:
name: app
namespace: default
spec:
replicas: 3
selector:
matchLabels:
app: app
template:
metadata:
labels:
app: app
spec:
containers:
- name: app
image: nginx:alpine
ports:
- containerPort: 8080
volumeMounts:
- name: html
mountPath: /usr/share/nginx/html
volumes:
- name: html
configMap:
name: app-html
---
apiVersion: v1
kind: ConfigMap
metadata:
name: app-html
namespace: default
data:
index.html: |
<html>
<head>
<title>Hello from Kubernetes!</title>
</head>
<body>
<h1>Hello from Kubernetes!</h1>
<p>This app is running in a Kubernetes cluster with Traefik as the Ingress controller.</p>
</body>
</html>7. 总结
Traefik 是一款现代化的反向代理和负载均衡器，专为容器环境设计，具有自动服务发现、动态配置和丰富的集成功能。它支持多种后端，如 Docker、Kubernetes、Consul 等，可以自动发现和配置服务，无需手动更新配置。
通过本教程的学习，您应该已经掌握了 Traefik 的核心概念、安装配置、基本使用、高级功能和最佳实践。在实际应用中，您可以根据具体的需求，灵活配置 Traefik，以满足不同场景的要求。
7.1 核心优势
- 自动服务发现：从 Docker、Kubernetes 等提供商中自动发现服务，无需手动更新配置。
- 动态配置：根据发现的服务自动生成配置，无需手动更新。
- 丰富的集成：支持多种后端和提供商，如 Docker、Kubernetes、Consul 等。
- 强大的中间件：提供丰富的中间件，如认证、重定向、限流等。
- 现代化特性：支持 HTTP/2、TLS 1.3、自动 TLS 证书管理等现代化特性。
- 易于使用：简洁的配置语法，丰富的文档和示例。
- 开源免费：开源软件，免费使用。
7.2 应用前景
随着容器技术和微服务架构的普及，Traefik 作为一款专为容器环境设计的反向代理和负载均衡器，在以下场景中有着广泛的应用前景：
- 容器环境：在 Docker、Kubernetes 等容器环境中作为反向代理和负载均衡器。
- 微服务架构：在微服务架构中作为 API 网关，管理服务间的通信。
- 云原生应用：在云原生应用中作为入口点，提供服务发现和负载均衡。
- DevOps 实践：与 CI/CD 流水线集成，自动配置和部署服务。
- 多环境部署：在开发、测试、生产等多个环境中使用，提供一致的配置和管理体验。
通过不断学习和实践 Traefik 的功能和最佳实践，您可以充分发挥 Traefik 的优势，构建现代化、可靠、安全的服务架构。