如何借助SNI通过同集群Traefik Ingress暴露Kube API Server？

问题原因分析 #

你之前用七层Ingress转发Kube API Server失败，核心原因是Kube API Server要求双向TLS认证：

• 七层Ingress模式下，Traefik会终止客户端的TLS连接，然后以无客户端证书的身份访问Kube API Server，导致API Server拒绝请求，返回Internal Server Error。
• 即使配置信任不安全后端证书，也无法解决客户端证书透传的问题——七层代理本身会切断客户端与后端的TLS链路。

解决方案：Traefik TCP路由+SNI匹配 #

Traefik支持通过IngressRouteTCP资源实现四层TCP代理，结合SNI（Server Name Indication）匹配，可让443端口同时处理七层HTTPS请求和四层Kube API的TLS流量：

• 当请求SNI为kubeapi.foo.com时，Traefik以四层代理模式直接转发TLS流量到Kube API Server，完全透传客户端证书，满足双向认证需求。
• 其他域名的请求仍走原七层Ingress规则。

具体配置步骤 #

1. 创建TCP路由资源
   新建IngressRouteTCP配置，开启TLS透传并匹配指定SNI：

   apiVersion: traefik.containo.us/v1alpha1
   kind: IngressRouteTCP
   metadata:
     name: kubeapi-tcp
     namespace: default
   spec:
     entryPoints:
       - websecure # 复用七层Ingress使用的443端口入口
     routes:
       - match: HostSNI(`kubeapi.foo.com`)
         services:
           - name: kubernetes
             port: 6443
     tls:
       passthrough: true # 关键配置：不终止TLS，直接透传流量到后端
   

2. 验证配置
   应用配置后，使用kubectl测试：

   kubectl --server=https://kubeapi.foo.com --client-certificate=your-client-cert.pem --client-key=your-client-key.pem --certificate-authority=ca.pem get nodes
   

   若能正常返回节点列表，说明配置生效。

注意事项 #

• K3S默认安装的Traefik已包含IngressRouteTCP所需的CRD，无需额外安装。
• 由于开启了TLS透传，客户端看到的证书是Kube API Server的原生证书，而非你之前配置的Let's Encrypt证书。如果需要客户端看到自定义证书，需改用Traefik终止TLS并配置固定客户端证书连接Kube API Server，但这会失去证书透传的安全性，不推荐。

内容的提问来源于stack exchange，提问作者Dojo