掀起 Traefik 2 的盖头来

  • 2019 年 10 月 6 日
  • 筆記

Traefik 2.0 发布也有几天了，根据通稿来看，有几个新的功能值得注意：

  • 开始使用 CRD 来完成原本使用 Ingress + 注解来完成的任务。
  • 加入了一个中间件概念，来提供丰富多样的控制能力。
  • 终于支持 TCP 了。

我的测试集群中经常会使用 Traefik 做 Ingress，又有 Maesh 加入 Service Mesh 的暖场战之中，所以 Traefik 2.0 还是值得看看的。它的文档做的还不太完善，着实花了一段时间来摸索，这里做个记录，方便后续的使用和学习。

安装

我知道开篇说安装特别 Low，但是奇葩的是这个版本的安装文档居然只提到了一个 Docker 下的安装过程，只是在一个不起眼的角落里有一个针对 Kubernetes 环境的安装清单。

我做了一些修改，源码参见：

https://gist.github.com/fleeto/0666a58e83c5b201e61ab2fca779ace2#file-traefik-v2-0-kubernetes-yaml

这里有一点需要注意的，Traefik 缺省开放三个端口：80、443 和 8080，其中 8080 是管理端口。建议将其分为两个服务，把管理端口和业务端口做个隔离，方便使用不同策略进行访问控制。另外 Configmap 中加入了访问日志方便调试，可酌情关闭。

例如下面把 Ingress 端口分配给 Loadbalancer，而管理端口仅设置为 ClusterIP。

---  apiVersion: v1  kind: Service  metadata:  name: traefik-ingress  namespace: traefik-system  labels:  app: traefik  spec:  ports:  - name: https  protocol: TCP  port: 443  targetPort: 443  - name: http  protocol: TCP  port: 80  targetPort: 80  type: LoadBalancer  selector:  app: traefik  ---  apiVersion: v1  kind: Service  metadata:  name: traefik-admin  namespace: traefik-system  labels:  app: traefik  spec:  ports:  - name: admin  protocol: TCP  port: 8080  targetPort: 8080  type: ClusterIP  selector:  app: traefik  ---

配置文件很简单，只要加入 Kubernetes 内部接口的端点即可：

providers:  kubernetescrd:  endpoint: https://kubernetes.default

然后给 80 和 443 端口所在的 Loadbalancer 提供一个域名，用于后续的规则设置。

部署测试服务

随便部署一个 HTTP 服务，例如 Istio 用到的 HTTPBIN

这个服务开放了 8000 端口提供 HTTP 服务，后面我们会用这个服务进行限流测试。

开放 Dashboard

前面把 Dashboard 的服务类型设置为 ClusterIP，创建一个 CRD 就能够通过 Traefik 开放服务了：

apiVersion: traefik.containo.us/v1alpha1  kind: IngressRoute  metadata:  name: traefik-dashboard  spec:  entryPoints:  - web  routes:  - match: Host(`traefik.microservice.xyz`)  kind: Rule  services:  - name: traefik-admin  port: 8080

这里使用了一个表达式来对流量进行筛选，表达式目前的支持范围如下表所示：

接下来用了几个不同级别的对象：

  • entryPoints：开放端口，例如我们部署中的 web 或 websecure。
  • routes：路由规则。
  • match：一个匹配表达式，这里我们指定匹配域名 traefik.microservice.xyz
  • name 和 Port：此处使用 Service 的定义

提交之后，就可以使用指定域名访问 Dashboard 了：

当然了，这个并不重要。

开启一个插件

用同样的方法，给 HTTPBIN 开放一个路由：

apiVersion: traefik.containo.us/v1alpha1  kind: IngressRoute  metadata:  name: httpbin  spec:  entryPoints:  - web  routes:  - kind: Rule  match: Host(`httpbin.microservice.xyz`)  services:  - name: httpbin  port: 8000

在路由定义中，可以使用插件，对该路由的进出流量进行处理，例如重定向、认证、重试等功能。

Ratelimit 的用法很简单，官网文档也有说明，我们模仿写一个：

apiVersion: traefik.containo.us/v1alpha1  kind: Middleware  metadata:  name: httpbin-traffic  spec:  rateLimit:  burst: 1  average: 2

其中的单位稍显死板，是 qps。但是怎么把这个对象加入到 Route 里面就不太明显了：

apiVersion: traefik.containo.us/v1alpha1  kind: IngressRoute  metadata:  name: httpbin  ...  services:  - name: httpbin  port: 8000  middlewares:  - name: httpbin-traffic

提交之后，可以看看 Dashboard 去看看这条规则的详情：

这条路由的 Middleware 中加入了新的元素，下面可以测试一下：

$ siege httpbin.microservice.xyz/get  ** SIEGE 4.0.4  ** Preparing 25 concurrent users for battle.  The server is now under siege...  HTTP/1.1 200     1.68 secs:     398 bytes ==> GET  /get  HTTP/1.1 429     1.68 secs:      17 bytes ==> GET  /get  HTTP/1.1 429     1.68 secs:      17 bytes ==> GET  /get  HTTP/1.1 429     1.68 secs:      17 bytes ==> GET  /get  HTTP/1.1 429     1.68 secs:      17 bytes ==> GET  /get

看到极少出现 200 的响应码，多数都是 429，证明限流生效了。

废话

真是不知道 Kubernetes 用户哪里对不起 Traefik 了。

VirMach 便宜 VPS

QNews

QNews