安装配置traefik ingress controller的核心是打通rbac、crd、网络暴露和ingress资源联动四环节：先部署crd与rbac权限，再通过daemonset或deployment运行控制器，接着配置ingress或ingressroute路由规则，最后启用https与仪表盘等可观测性功能。
安装配置 Traefik Ingress Controller 的核心在于：先让控制器运行起来，再让它能自动发现服务并按规则路由流量。它不是简单部署一个 Pod 就完事，而是要打通 RBAC、CRD、网络暴露和 Ingress 资源联动四个关键环节。
准备基础资源：CRD + RBAC + 静态配置
Traefik 2.x+ 依赖自定义资源（如 IngressRoute、TLSStore），必须先部署 CRD；同时它需要权限读取集群内 Service、Endpoints、Ingress 等对象，RBAC 不可省略。
- 执行
kubectl apply -f https://raw.githubusercontent.com/traefik/traefik/v2.10/docs/content/reference/static-configuration/kubernetes-crd.yaml（注意版本匹配）导入 CRD - 创建
ServiceAccount（如traefik-ingress-controller）并绑定ClusterRole（含get/list/watch对services、ingresses、endpoints等资源的权限） - 用
ConfigMap或 Helmvalues.yaml定义静态配置：启用providers.kubernetesIngress和providers.kubernetesCRD，指定entryPoints.web.address（如:80）
选择部署方式：DaemonSet 还是 Deployment？
生产环境推荐 DaemonSet，确保每个节点都运行一个 Traefik 实例，避免单点故障；测试或资源受限场景可用 Deployment + LoadBalancer Service。
- DaemonSet 模式下，需设置
hostPort: 80并打标签（如node-role.kubernetes.io/ingress=）限定调度范围 - Deployment 模式下，建议搭配 MetalLB（裸机）或云厂商 SLB（公有云）暴露
Service.type=LoadBalancer - 无论哪种方式，务必检查宿主机 80/443 端口未被占用，否则容器启动失败
定义入口规则：Ingress 或 IngressRoute？
Traefik 同时支持 Kubernetes 原生 Ingress 资源和自研 IngressRoute。前者兼容性好，后者功能更全（如多段路径匹配、中间件链、TCP 路由）。
- 若用原生 Ingress，需在资源中加注解：
kubernetes.io/ingress.class: traefik，且确保 Helm 安装时启用了kubernetes.ingressClass.enabled=true - 若用 IngressRoute，需先创建
TCPRouter/HTTPRouter，并关联Service和Middleware（例如StripPrefix处理路径前缀） - 示例常见问题：访问
/api报 404，往往因后端服务未处理该路径前缀——用middlewares.strip-path自动剥离再转发
启用 HTTPS 与可观测性
Traefik 内置 ACME 支持自动申请 Let’s Encrypt 证书，也支持手动挂载 Secret；仪表盘和指标则用于日常运维排查。
- HTTPS：在
Ingress或IngressRoute中声明tls字段，指向包含tls.crt和tls.key的 Secret；开启 ACME 需配置certificatesResolvers.letsencrypt.acme.email和存储位置 - 仪表盘：通过
traefik.yml启用api.insecure=true（仅测试）或配api.dashboard=true+entryPoints.traefik+IngressRoute暴露安全访问入口 - 指标：启用 Prometheus provider，配合
ServiceMonitor抓取metrics.prometheus.entryPoint=metrics端口数据
