如何用k3s内置Traefik反向代理集群外应用（如群晖Portainer）

明确说明：完全可以用k3s的Traefik统一代理集群内外服务，你的需求完全可行。以下针对你现有配置的问题给出修正方案：

一、修正现有配置中的错误 #

1. Ingress的TLS字段配置错误 #

你当前Ingress的tls段写法有误，hosts需填写实际域名，而非证书名称。正确配置如下：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: portainer-ingress
  namespace: utilities
spec:
  ingressClassName: traefik
  rules:
    - host: portainer.k3s.lab.DOMAIN.com
      http:
        paths:
          - backend:
              service:
                name: portainer-service
                port:
                  number: 9000
            path: /
            pathType: ImplementationSpecific
  tls:
    - hosts:
        - portainer.k3s.lab.DOMAIN.com
      secretName: kube-wildcard-tls  # 替换为你的通配符证书Secret名称

2. IngressRoute的EntryPoints配置错误 #

entryPoints必须对应Traefik已配置的入口（默认是web对应80端口、websecure对应443端口），不能填写自定义的portainer-service。正确的IngressRoute配置：

apiVersion: traefik.io/v1alpha1
kind: IngressRoute
metadata:
  name: portainer.route
  namespace: utilities
spec:
  entryPoints:
    - websecure  # 使用HTTPS入口，若需HTTP则改为web
  routes:
  - match: Host(`portainer.k3s.lab.DOMAIN.com`)
    kind: Rule
    services:
    - name: portainer-service
      port: 9000
  tls:
    secretName: kube-wildcard-tls  # 指定证书Secret

二、简化集群外服务的Service配置 #

你可以选择两种方式配置集群外服务的Service：

方式1：Endpoint + ClusterIP Service（推荐，无需依赖DNS） #

保留你现有的Endpoint配置（替换{SYNOLOGYIP}为实际群晖IP），然后简化Service配置（无需手动指定clusterIP）：

apiVersion: v1
kind: Service
metadata:
  name: portainer-service
  namespace: utilities
spec:
  ports:
    - name: http
      port: 9000
      protocol: TCP
      targetPort: 9000
  type: ClusterIP

方式2：ExternalName Service（需集群DNS可解析群晖主机名） #

如果集群DNS能解析群晖的主机名（比如synology.lab.DOMAIN.com），可直接使用ExternalName，无需创建Endpoint：

apiVersion: v1
kind: Service
metadata:
  name: portainer-service
  namespace: utilities
spec:
  type: ExternalName
  externalName: synology.lab.DOMAIN.com
  ports:
    - name: http
      port: 9000
      protocol: TCP
      targetPort: 9000

三、关键验证步骤 #

1. 检查Traefik Pod与群晖的网络连通性
   进入任意Traefik Pod，验证是否能访问群晖的Portainer端口：

   # 替换pod名称为实际Traefik Pod名称
   kubectl exec -it traefik-xxxx-xxxx -n kube-system -- /bin/sh
   # ping群晖IP，检查网络连通
   ping {SYNOLOGYIP}
   # 测试Portainer端口是否开放
   telnet {SYNOLOGYIP} 9000
   

   若无法连通，需检查集群节点与群晖之间的防火墙/安全组规则，确保9000端口开放。

2. 查看Traefik日志排错
   通过Traefik日志排查转发错误：

   kubectl logs -f traefik-xxxx-xxxx -n kube-system
   

3. 确认Traefik配置生效
   验证allowExternalNameServices配置是否生效：

   # 端口转发Traefik API
   kubectl port-forward traefik-xxxx-xxxx 9000:9000 -n kube-system
   # 访问http://localhost:9000/api/rawdata，查看是否包含你的Ingress/IngressRoute和Service配置
   

内容的提问来源于stack exchange，提问作者thetanis