Traefik 新一代轻量级云原生反向代理工具

1. 基础简介

Traefik 是一个为了让部署微服务更加便捷而诞生的现代 HTTP 反向代理、负载均衡工具。 它支持多种后台 (Docker, Swarm, Kubernetes, Marathon, Mesos, Consul, Etcd, Zookeeper, BoltDB, Rest API, File…) 来自动化、动态的应用它的配置文件设置。

2. 核心组件

当请求 Traefik 时，请求首先到Entrypoints，然后分析传入的请求，查看他们是否与定义的Routers匹配。如果匹配，则会通过一系列Middlewares处理，再到 traefik 的Services上做流量转发，最后请求到 kubernetes 的 services 上。

3. Traefik 对比 Nginx

Traefik 组件类比 Nginx 概念：

Kubernetes 中 Traefik 与 Nginx-Ingress 对比：

由于微服务架构以及 Docker 和 Kubernetes 编排工具最近几年才开始流行，所以一开始的反向代理服务器如 Nginx、Apache 并未提供支持，才会出现 Ingress Controller 这种东西来做 Kubernetes 和前端负载均衡器如 Nginx 之间做衔接。Ingress Controller 的存在就是为了能跟 Kubernetes 交互，然后写入 Nginx 配置，最后 Reload。

• Nginx-Ingress： 使用 Nginx 作为前端负载均衡，通过 Ingress Controller 不断的和 Kubernetes Api 交互，实时获取后端 Service，Pod 等的变化，然后动态更新 Nginx 配置，并刷新使配置生效，达到服务发现的目的。
• Traefik-Ingress： Traefik 本身设计的就能够实时跟 Kubernetes Api 交互，感知后端 Service，Pod 等的变化，自动更新配置并重载。

Traefik 有自己的 Web UI，一般安装完成后通过 8080 端口访问：

4. Traefik 的各种 Providers 配置发现

Traefik 中的配置发现是通过下面的一些 providers 来实现的。providers 是现有的一些基础架构组件，可以是编排工具，容器引擎，云提供商或者 key-value 存储都可以。

Traefik 通过查询 providers 的 API 来查找有关路由的相关信息，Traefik 每次检测到更改时，都会动态更新路由。

编排器：

虽然每个 provider 都是不同的，但是我们还是可以将这些 provider 大致分为4组：

• 基于标签（每个部署的容器都附件了一组标签）
• 基于键值（每个部署的容器使用相关信息来更新 key-value 存储）
• 基于注解（带有注解的单独对象来定义容器的一些特性）
• 基于文件（一些旧的配置文件）

支持的 Providers：

下面列出的是现在 Traefik 支持的一些 providers：

总的来说，上述这些都是 Traefik 配置发现的方式，即 如何让你写的配置文件或者命令标签等被 Traefik 静态或者动态地读取生效。基于篇幅原因，我们不完全例举所有的使用方式，下文主要演示一个完整的 Kubernetes 通过自定义资源方式的例子，其余方式大家可以自己参考官方文档：https://doc.traefik.io/traefik/providers/overview

5. Traefik 在 Kubernetes 中通过自定义资源对象实现 IngressRoute

首先我们需要定义自己的资源类型（IngressRoute/IngressRouteTCP/Middleware/TLSOption）：

TraefikCRD.yml

apiVersion: apiextensions.k8s.io/v1beta1
kind: CustomResourceDefinition
metadata:
  name: ingressroutes.traefik.containo.us

spec:
  group: traefik.containo.us
  version: v1alpha1
  names:
    kind: IngressRoute
    plural: ingressroutes
    singular: ingressroute
  scope: Namespaced

---
apiVersion: apiextensions.k8s.io/v1beta1
kind: CustomResourceDefinition
metadata:
  name: ingressroutetcps.traefik.containo.us

spec:
  group: traefik.containo.us
  version: v1alpha1
  names:
    kind: IngressRouteTCP
    plural: ingressroutetcps
    singular: ingressroutetcp
  scope: Namespaced

---
apiVersion: apiextensions.k8s.io/v1beta1
kind: CustomResourceDefinition
metadata:
  name: middlewares.traefik.containo.us

spec:
  group: traefik.containo.us
  version: v1alpha1
  names:
    kind: Middleware
    plural: middlewares
    singular: middleware
  scope: Namespaced

---
apiVersion: apiextensions.k8s.io/v1beta1
kind: CustomResourceDefinition
metadata:
  name: tlsoptions.traefik.containo.us

spec:
  group: traefik.containo.us
  version: v1alpha1
  names:
    kind: TLSOption
    plural: tlsoptions
    singular: tlsoption
  scope: Namespaced

同时注意 RBAC 授权资源，后面将通过部署 serviceAccountName 引用它们：

TraefikRBAC.yml

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: traefik-ingress-controller

rules:
  - apiGroups:
      - ""
    resources:
      - services
      - endpoints
      - secrets
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - extensions
    resources:
      - ingresses
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - extensions
    resources:
      - ingresses/status
    verbs:
      - update
  - apiGroups:
      - traefik.containo.us
    resources:
      - middlewares
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - traefik.containo.us
    resources:
      - ingressroutes
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - traefik.containo.us
    resources:
      - ingressroutetcps
    verbs:
      - get
      - list
      - watch
  - apiGroups:
      - traefik.containo.us
    resources:
      - tlsoptions
    verbs:
      - get
      - list
      - watch

---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: traefik-ingress-controller

roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: traefik-ingress-controller
subjects:
  - kind: ServiceAccount
    name: traefik-ingress-controller
    namespace: default

接下来是服务 Service，一个是 Traefik 本身，另一个是其路由的 Web 应用程序 whoami ：

TraefikService.yml

apiVersion: v1
kind: Service
metadata:
  name: traefik

spec:
  ports:
    - protocol: TCP
      name: web
      port: 8000
    - protocol: TCP
      name: admin
      port: 8080
    - protocol: TCP
      name: websecure
      port: 4443
  selector:
    app: traefik

WhoamiService.yml

apiVersion: v1
kind: Service
metadata:
  name: whoami

spec:
  ports:
    - protocol: TCP
      name: web
      port: 80
  selector:
    app: whoami

接下来是部署 Deployment，同样，一个是 Traefik 的 pod， 另一个是 whoami 应用程序的 pod：

TraefikDeployment.yml

apiVersion: v1
kind: ServiceAccount
metadata:
  namespace: default
  name: traefik-ingress-controller

---
kind: Deployment
apiVersion: apps/v1
metadata:
  namespace: default
  name: traefik
  labels:
    app: traefik

spec:
  replicas: 1
  selector:
    matchLabels:
      app: traefik
  template:
    metadata:
      labels:
        app: traefik
    spec:
      serviceAccountName: traefik-ingress-controller
      containers:
        - name: traefik
          image: traefik:v2.0
          args:
            - --api.insecure
            - --accesslog
            - --entrypoints.web.Address=:8000
            - --entrypoints.websecure.Address=:4443
            - --providers.kubernetescrd
            - --certificatesresolvers.default.acme.tlschallenge
            - --certificatesresolvers.default.acme.email=foo@you.com
            - --certificatesresolvers.default.acme.storage=acme.json
            # Please note that this is the staging Let's Encrypt server.
            # Once you get things working, you should remove that whole line altogether.
            - --certificatesresolvers.default.acme.caserver=https://acme-staging-v02.api.letsencrypt.org/directory
          ports:
            - name: web
              containerPort: 8000
            - name: websecure
              containerPort: 4443
            - name: admin
              containerPort: 8080

这里我们使用了 Let’s Encrypt 来设置的 TLS 证书，Let’s Encrypt 是一个线上免费证书颁发组织，能够颁发权威机构认证的证书。此组织已经是当前最受欢迎、用户数量最广的证书颁发组织。

WhoamiDeployment.yml

kind: Deployment
apiVersion: apps/v1
metadata:
  namespace: default
  name: whoami
  labels:
    app: whoami

spec:
  replicas: 2
  selector:
    matchLabels:
      app: whoami
  template:
    metadata:
      labels:
        app: whoami
    spec:
      containers:
        - name: whoami
          image: containous/whoami
          ports:
            - name: web
              containerPort: 80

注意：这里我们 Traefik Pod 端口无法从集群外部访问，这样会导致 ACME TLS 配置失败，在阿里云上我们可以购买 SLB 负载均衡，并且设置各个节点机器的端口映射来解决。

前边的步骤可以理解为安装过程，现在我们才开始设置我们的路由信息：

IngressRoutes.yml

apiVersion: traefik.containo.us/v1alpha1
kind: IngressRoute
metadata:
  name: simpleingressroute
  namespace: default
spec:
  entryPoints:
    - web
  routes:
  - match: Host(`your.domain.com`) && PathPrefix(`/notls`)
    kind: Rule
    services:
    - name: whoami
      port: 80

---
apiVersion: traefik.containo.us/v1alpha1
kind: IngressRoute
metadata:
  name: ingressroutetls
  namespace: default
spec:
  entryPoints:
    - websecure
  routes:
  - match: Host(`your.domain.com`) && PathPrefix(`/tls`)
    kind: Rule
    services:
    - name: whoami
      port: 80
  tls:
    certResolver: default

HTTP 的路由规则：

TCP 的路由规则：

6. Traefik 特色的 Middlewares 中间件

Middlewares 中间件被附件到路由上，是一种在请求发送到你的 Service 服务之前（或者在服务的响应发送到客户端之前）调整请求的一种方法。

Traefik 内置了许多不同功能的中间件，其中一些可以修改请求，头信息，一些负责重定向，一些添加身份验证等等。

中间件可以通过链式组合的方式来适用各种情况。

可用中间件列表：

继续上边的例子，我们来看几个中间件在 Kubernetes 中的使用，CRD 和 RBAC 我们已经声明过了：

AddPrefix（添加一个 Path 前缀）：

AddPrefix 中间件在转发请求之前更新请求的路径。

# Prefixing with /foo
apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: add-foo
spec:
  addPrefix:
    prefix: /foo

ForwardAuth（使用外部服务转发身份验证）：

ForwardAuth 中间件将身份验证委托给外部服务。如果服务用 2XX 代码回答，则授予访问权限，并执行原始请求。否则，将返回来自身份验证服务器的响应。

以下请求属性会以 X-Forwarded- 头的形式转发给认证服务：

# Forward authentication to example.com
apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: test-auth
spec:
  forwardAuth:
    address: https://example.com/auth
    trustForwardHeader: true ## 可信任所有X-Forwarded-*标头
    authResponseHeaders: ## 从认证服务器额外带到Response响应的Headers
      - X-Auth-User
      - X-Secret
    authRequestHeaders: ## 从Request请求额外带到认证服务器的Headers
      - "Accept"
      - "X-CustomHeader"
    authResponseHeadersRegex: ^X- ## 从Request请求额外带到认证服务器的Headers（正则表达式）

具体细节的中间件，大家可以自己参考官方文档：https://doc.traefik.io/traefik/middlewares/http/overview