Traefik v2在GKE上配置IP白名单中间件报错求助

从日志middleware "traefik-ipwhitelist@kubernetescrd" does not exist可以明确，Traefik无法找到指定的中间件资源，核心问题集中在资源存在性、引用格式、权限配置三个维度，以下是分步排查和解决方法：

1. 验证中间件资源是否存在 #

先确认traefik命名空间下的ipwhitelist中间件已正确创建：

kubectl get middleware ipwhitelist -n traefik

• 如果返回资源详情，说明中间件已存在；
• 如果提示NotFound，重新应用你的中间件配置文件：

  kubectl apply -f /path/to/your/middleware.yaml
  

2. 检查中间件引用格式是否正确 #

Traefik 2引用CRD类型中间件的标准格式为：{命名空间}-{中间件名称}@kubernetescrd
你的Ingress注解traefik-ipwhitelist@kubernetescrd格式是正确的，但需注意：

• Kubernetes资源名称和命名空间均为小写敏感，确认无大小写拼写错误；
• 核对中间件名称确实是ipwhitelist，命名空间是traefik，无字符偏差。

3. 确保Traefik控制器有权限访问跨命名空间中间件 #

你的Traefik部署在kube-system，中间件在traefik命名空间，需要保证Traefik的ServiceAccount拥有该命名空间下Middleware资源的访问权限：

检查ClusterRole权限 #

查看Traefik绑定的ClusterRole（通常名为traefik-ingress-controller）：

kubectl describe clusterrole traefik-ingress-controller

确认其中包含traefik.containo.us/v1alpha1组下的middlewares资源权限：

- apiGroups:
  - traefik.containo.us
  resources:
  - middlewares
  verbs:
  - get
  - list
  - watch

如果缺少该权限，更新ClusterRole并应用：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: traefik-ingress-controller
rules:
  - apiGroups: [""]
    resources: ["services", "endpoints", "secrets"]
    verbs: ["get", "list", "watch"]
  - apiGroups: ["extensions", "networking.k8s.io"]
    resources: ["ingresses", "ingressclasses"]
    verbs: ["get", "list", "watch"]
  - apiGroups: ["traefik.containo.us"]
    resources: ["middlewares", "middlewaretcps", "ingressroutes", "traefikservices"]
    verbs: ["get", "list", "watch"]

kubectl apply -f /path/to/your/clusterrole.yaml

4. 简化方案：将中间件部署到Ingress所在命名空间 #

如果跨命名空间权限配置复杂，可直接将中间件移至Ingress所在的es-prod命名空间：

1. 修改中间件YAML的metadata.namespace为es-prod：

   apiVersion: traefik.containo.us/v1alpha1
   kind: Middleware
   metadata:
     name: ipwhitelist
     namespace: es-prod
   spec:
     ipWhiteList:
       sourceRange:
         - 199.83.128.0/21
   

2. 更新Ingress的中间件引用注解：

   traefik.ingress.kubernetes.io/router.middlewares: es-prod-ipwhitelist@kubernetescrd
   

3. 应用修改后的配置：

   kubectl apply -f /path/to/updated/middleware.yaml
   kubectl apply -f /path/to/updated/ingress.yaml
   

5. 重启Traefik控制器生效配置 #

无论采用哪种方案，最后重启Traefik部署让配置生效：

kubectl rollout restart deployment traefik -n kube-system

完成以上步骤后，重新访问服务，404错误和中间件不存在的日志应会消失。

内容的提问来源于stack exchange，提问作者avalero