Traefik静态配置转IngressRoute后Zitadel部署的HTTP2/GRPC转发问题排查

你的IngressRoute配置存在几个核心问题，直接导致了Zitadel的HTTP/2和gRPC转发异常，出现Unknown Content-type received错误：

1. 重复路由规则引发流量分发混乱 #

你定义了两个完全相同的Host(id.example.com)匹配规则，Traefik无法确定该用h2c还是http协议转发请求。当gRPC（依赖HTTP/2）请求被错误转发到http协议的服务时，就会出现协议不匹配的错误。

2. 缺少Zitadel要求的请求头中间件 #

原Traefik静态配置中的zitadel中间件用于限制合法Host、确保请求头正确，你的配置完全遗漏了这部分，可能导致Zitadel拒绝或无法正确处理请求。

3. 未配置HTTP到HTTPS的重定向 #

虽然你使用了websecure入口，但没有处理HTTP流量的重定向，不符合ZitadelExternalSecure: true的配置要求。

修正后的配置 #

第一步：创建必要的中间件 #

# zitadel-headers 中间件：处理请求头与安全策略
apiVersion: traefik.containo.us/v1alpha1
kind: Middleware
metadata:
  name: zitadel-headers
  namespace: apps
spec:
  headers:
    allowedHosts:
      - id.example.com
    customRequestHeaders:
      X-Forwarded-Proto: https
    stsSeconds: 31536000
    stsIncludeSubdomains: true
    stsPreload: true

# redirect-to-https 中间件：HTTP转HTTPS
apiVersion: traefik.containo.us/v1alpha1
kind: Middleware
metadata:
  name: redirect-to-https
  namespace: apps
spec:
  redirectScheme:
    scheme: https
    permanent: true

第二步：正确配置IngressRoute #

# HTTPS 入口路由
apiVersion: traefik.containo.us/v1alpha1
kind: IngressRoute
metadata:
  name: zitadel-websecure
  namespace: apps
spec:
  entryPoints:
    - websecure
  routes:
    - match: Host(`id.example.com`)
      kind: Rule
      middlewares:
        - name: zitadel-headers
          namespace: apps
      services:
        - name: zitadel
          namespace: apps
          port: 8080
          scheme: h2c
          passHostHeader: true
  tls:
    certResolver: letsencrypt-prod
    domains:
      - main: id.example.com

# HTTP 入口路由（重定向到HTTPS）
apiVersion: traefik.containo.us/v1alpha1
kind: IngressRoute
metadata:
  name: zitadel-web
  namespace: apps
spec:
  entryPoints:
    - web
  routes:
    - match: Host(`id.example.com`)
      kind: Rule
      middlewares:
        - name: redirect-to-https
          namespace: apps
      services:
        - name: zitadel
          namespace: apps
          port: 8080

关键配置说明 #

1. 统一使用h2c协议：Zitadel的8080端口原生支持h2c（HTTP/2明文），可以同时处理HTTP/1.1（网页、REST API）和HTTP/2（gRPC）请求，无需分开配置。
2. 请求头中间件：
   • allowedHosts限制只有合法域名的请求能到达Zitadel
   • X-Forwarded-Proto: https确保Zitadel识别到请求是通过HTTPS访问的，匹配你配置的ExternalSecure: true
3. HTTP重定向：确保所有HTTP流量自动转到HTTPS，符合Zitadel的安全配置要求。

内容的提问来源于stack exchange，提问作者hobyte