在k3sup中自定义Traefik配置的技术指南

背景介绍

k3sup是一个快速部署K3s集群的工具，它默认会安装Traefik作为入口控制器。然而，在实际生产环境中，我们经常需要对Traefik进行定制化配置，比如修改默认TLS选项、禁用HTTP端口或者更改HTTPS监听端口等。

默认配置的局限性

k3sup安装的K3s集群中，Traefik作为内置组件存在以下默认配置：

• 同时监听80(HTTP)和443(HTTPS)端口
• 使用默认的TLS配置
• 无法直接通过k3sup命令修改这些配置

自定义Traefik配置的两种方案

方案一：禁用内置Traefik并独立安装

1. 使用--no-traefik参数安装k3s，禁用内置Traefik
2. 通过arkade工具安装Traefik并自定义配置：

   arkade install traefik --set key=value
   

3. 或者直接使用Helm chart进行完全自定义安装

这种方案的优点是可以使用最新版本的Traefik(v3)及其所有功能，但需要额外管理Traefik的安装和升级。

方案二：修改内置Traefik的配置

K3s允许通过HelmChartConfig资源来自定义内置组件的配置。以下是具体步骤：

1. 创建配置文件traefik-config.yaml：

apiVersion: helm.cattle.io/v1
kind: HelmChartConfig
metadata:
  name: traefik
  namespace: kube-system
spec:
  valuesContent: |-
    ports:
      web:
        expose:
          default: false   # 禁用HTTP(80)端口
      websecure:
        exposedPort: 31111 # 修改HTTPS端口为31111
    tlsOptions:
      default:
        sniStrict: true    # 启用SNI严格模式
        alpnProtocols: ['http/1.1'] # 限制ALPN协议

2. 将配置文件放到K3s的manifests目录：

scp traefik-config.yaml $SERVER:/home/debian/traefik-config.yaml
ssh $SERVER sudo mv traefik-config.yaml /var/lib/rancher/k3s/server/manifests/

3. K3s会自动应用这个配置，无需重启服务

注意事项：

• 这种方法使用的是K3s内置的Traefik v2版本
• 某些v3功能(如asDefault)不可用
• 配置在k3sup升级后仍然有效

生产环境建议

对于生产环境，建议考虑以下最佳实践：

1. 如果需要最新Traefik功能，选择方案一
2. 如果追求简单稳定，选择方案二
3. 无论哪种方案，都应配置适当的TLS安全选项
4. 考虑使用非标准端口时，确保防火墙规则正确配置
5. 定期检查Traefik的日志和指标，确保配置按预期工作

通过以上方法，您可以灵活地在k3sup部署的K3s集群中定制Traefik以满足特定需求。