如何配置通过Helm部署在EKS集群的Traefik以传递x-forwarded-proto请求头？

首先，问题的核心在于Traefik默认只会信任特定代理IP来传递X-Forwarded-*系列请求头，而AWS ALB的IP不在默认信任列表中，导致Traefik没有保留ALB发送的X-Forwarded-Proto头，甚至可能用自身生成的头覆盖了它。我们可以通过调整Helm配置让Traefik信任ALB，并正确转发该头。

1. 获取AWS ALB的可信IP范围/地址 #

你需要先确定Traefik所在集群对应AWS ALB的IP地址或其所在VPC的CIDR范围：

• 登录AWS控制台，在EC2负载均衡器页面找到目标ALB，查看其IPv4地址
• 或使用AWS CLI命令快速获取：

  aws elbv2 describe-load-balancers --names <你的ALB名称> --query 'LoadBalancers[0].AvailabilityZones[*].LoadBalancerAddresses[*].IpAddress' --output text
  

2. 修改Traefik Helm Values配置 #

编辑你的values.yaml文件，在entryPoints部分添加forwardedHeaders配置，让Traefik信任ALB的IP，并确保传递X-Forwarded-Proto头。示例配置如下：

entryPoints:
  web:
    address: ":80"
    forwardedHeaders:
      enabled: true
      # 填入ALB的具体IP或所在VPC的CIDR，多个值用逗号分隔
      trustedIPs:
        - "192.168.0.0/16"  # 替换为你的ALB实际IP/CIDR
        - "10.0.0.0/8"      # 若ALB在其他VPC，补充对应CIDR
      # 指定使用上游传递的X-Forwarded-Proto，而非Traefik自身生成的
      protoHeaders: ["X-Forwarded-Proto"]
  websecure:
    address: ":443"
    forwardedHeaders:
      enabled: true
      trustedIPs:
        - "192.168.0.0/16"
        - "10.0.0.0/8"
      protoHeaders: ["X-Forwarded-Proto"]

# 额外说明：如果使用Ingress资源暴露服务，无需单独配置Ingress，Traefik全局信任ALB后会自动转发该头

3. 重新部署Traefik使配置生效 #

执行Helm升级命令，应用修改后的配置：

helm upgrade traefik traefik/traefik --values=values.yaml

4. 验证配置效果 #

在后端客户服务中添加请求头日志，打印X-Forwarded-Proto的值，确认是否与用户原始请求的协议（HTTP/HTTPS）一致。比如在服务代码中打印request.headers['X-Forwarded-Proto']，检查输出是否符合预期。

注意事项 #

• 请勿使用forwardedHeaders.insecure: true（测试环境除外），这会让Traefik信任所有来源的X-Forwarded-*头，存在安全风险，优先通过trustedIPs限制可信代理范围。
• AWS Load Balancer Controller创建的ALB会自动将用户原始请求协议放入X-Forwarded-Proto头，只要Traefik信任该ALB，就能正确转发给后端服务。

内容的提问来源于stack exchange，提问作者DevOpsdonut