不同Namespace中多Nomad Traefik实例的服务发现问题排查

核心问题定位 #

你的场景里，Traefik默认会扫描整个Nomad集群的服务，但你把Traefik和Web服务隔离在独立Namespace，且需要绑定特定网卡，所以必须让每个Traefik实例仅监听自身Namespace内的服务，同时Web服务的标签要明确指向对应Traefik实例的配置。

步骤1：配置Traefik任务（按Namespace/网卡隔离） #

每个Traefik实例要绑定指定的Namespace和网卡，同时限制其服务发现范围到当前Namespace：

示例Traefik Job配置（针对public-net Namespace） #

job "traefik-public" {
  datacenters = ["dc1"]
  namespace   = "public-net"  # 绑定到对应Namespace
  type        = "service"

  group "traefik" {
    count = 1

    network {
      mode = "host"  # 用host模式直接绑定物理网卡
      port "web" {
        static = 80
        to     = 80
        host_network = "public"  # 对应Nomad客户端配置的host网络（需提前在client.hcl里定义）
      }
    }

    task "traefik" {
      driver = "docker"

      config {
        image = "traefik:v2.11"
        args = [
          "--api.insecure=true",
          "--providers.nomad=true",
          "--providers.nomad.endpoint=http://localhost:4646",
          "--providers.nomad.namespaces=public-net",  # 仅监听当前Namespace的服务
          "--providers.nomad.exposedByDefault=false",  # 关闭默认暴露，仅处理带标签的服务
          "--entryPoints.web.address=0.0.0.0:80",  # 要绑定特定网卡IP的话，替换成对应网卡IP，比如"192.168.1.100:80"
        ]
        ports = ["web"]
      }

      service {
        name = "traefik-public"
        port = "web"
        tags = [
          "traefik.enable=true",
          "traefik.http.routers.traefik-public.rule=Host(`traefik-public.example.com`)",
          "traefik.http.services.traefik-public.loadbalancer.server.port=8080"
        ]
      }
    }
  }
}

注意：如果你的Nomad客户端配置了多网卡的host网络，需要在client.hcl里提前定义：

host_network "public" {
  interface = "eth0"  # 对应物理网卡名称
}
host_network "private" {
  interface = "eth1"
}

步骤2：配置Web服务任务（同Namespace内绑定对应Traefik） #

Web服务必须和目标Traefik实例在同一个Namespace，并通过Traefik标签明确指定路由规则和关联的Traefik实例：

示例Web服务Job配置（public-net Namespace） #

job "web-app-public" {
  datacenters = ["dc1"]
  namespace   = "public-net"  # 和Traefik同Namespace
  type        = "service"

  group "web" {
    count = 2

    network {
      mode = "host"
      port "http" {
        to     = 8000
        host_network = "public"
      }
    }

    task "web" {
      driver = "docker"

      config {
        image = "nginx:alpine"
        ports = ["http"]
      }

      service {
        name = "web-app-public"
        port = "http"
        # Traefik标签：明确指定要被public-net的Traefik实例发现
        tags = [
          "traefik.enable=true",
          "traefik.http.routers.web-app-public.rule=Host(`app-public.example.com`)",
          "traefik.http.services.web-app-public.loadbalancer.server.port=8000",
          # 多Traefik实例场景下，可通过entryPoint标签区分
          "traefik.http.routers.web-app-public.entrypoints=web"
        ]
      }
    }
  }
}

关键配置要点 #

• Namespace隔离：Traefik的--providers.nomad.namespaces必须指定当前Namespace，确保只扫描该Namespace内的服务
• 网卡绑定：通过Nomad的host_network或直接指定网卡IP，确保Traefik和Web服务都绑定到目标网卡
• 标签精准匹配：
  • 关闭Traefik的exposedByDefault=false，避免自动发现不需要的服务
  • Web服务必须开启traefik.enable=true，同时路由规则要明确
• 服务发现验证：开启--api.insecure=true后，访问Traefik的dashboard（http://<traefik-ip>:8080）查看是否能看到Web服务的路由

验证步骤 #

1. 启动Traefik任务：nomad job run traefik-public.hcl
2. 启动Web服务任务：nomad job run web-app-public.hcl
3. 检查Nomad服务状态：nomad service list -namespace=public-net，确认两个服务都正常注册
4. 访问Traefik dashboard，查看HTTP Routers和HTTP Services是否包含Web服务的条目
5. 访问Web服务的域名（比如app-public.example.com），验证路由是否正常

内容的提问来源于stack exchange，提问作者Jeff Bilbro