K8s环境Traefik v2跨命名空间流量镜像配置错误排查

现有配置的核心错误 #

• entryPoints 配置为空：Traefik 不会将该路由绑定到任何流量入口，路由完全不生效，必须填入实际启用的入口点名称（如默认HTTP入口web、HTTPS入口websecure）。
• 后端服务类型配置错误：IngressRoute 中引用的customer-mirror是Traefik自定义的TraefikService资源，不是Kubernetes原生Service，当前配置写的kind: Service会导致Traefik去原生Service资源列表中查找对应资源，直接解析失败。
• 后端端口配置非法：port: TraefikService是无效值，port字段仅接受数字端口号或Service上定义的端口名；引用TraefikService作为后端时，该字段不会参与实际业务端口转发（业务端口已在TraefikService的镜像规则中定义），填入合法数值即可。
• 路径匹配规则覆盖不全：当前规则PathPrefix(/newservice/)仅能匹配带尾斜杠的路径，用户访问blah.example.com/newservice（不带尾斜杠）会直接404。
• 路由优先级设置不合理：priority: 0是最低优先级，若集群内存在同域名的其他路由，会被高优先级规则抢占流量，无法命中预期路由。
• 前缀剥离规则不匹配：中间件配置的剥离前缀是/newservice/，和路径匹配规则不统一，会导致不带尾斜杠的请求转发到后端时路径裁剪错误。

修正后的完整配置 #

apiVersion: traefik.containo.us/v1alpha1
kind: IngressRoute
metadata:
  annotations:
    kubernetes.io/ingress.class: traefik
  name: shared-ingressroute
  namespace: shared
spec:
  entryPoints:
    - web # 替换为实际使用的入口点，HTTPS场景替换为websecure
  routes:
  - kind: Rule
    match: Host(`blah.example.com`) && PathPrefix(`/newservice`)
    middlewares:
    - name: shared-middleware-testing-middleware
      namespace: shared
    priority: 100 # 设置合理优先级，避免被通用路由抢占
    services:
    - kind: TraefikService # 修正后端类型为TraefikService
      name: customer-mirror
      namespace: namespace1
      port: 80 # 引用TraefikService时填合法端口值即可，无实际转发含义

---
apiVersion: traefik.containo.us/v1alpha1
kind: Middleware
metadata:
  name: shared-middleware-testing-middleware
  namespace: shared
spec:
  stripPrefix:
    prefixes:
    - /newservice # 统一前缀规则，兼容带/不带尾斜杠的请求

---
apiVersion: traefik.containo.us/v1alpha1
kind: TraefikService
metadata:
  name: customer-mirror
  namespace: namespace1
spec:
  mirroring:
    kind: Service # 显式声明主服务类型为K8s原生Service，避免版本兼容问题
    name: newservice
    port: 8011
    namespace: namespace1 # 主服务：正常响应用户请求的后端
    mirrors:
      - kind: Service # 显式声明镜像服务类型
        name: newservice
        port: 8011
        percent: 100 # 复制100%流量到镜像后端
        namespace: namespace2 # 镜像服务：仅接收复制流量，响应不会返回给客户端

额外注意事项 #

• 镜像功能为发即弃模式：Traefik 会把请求复制一份转发到镜像后端，但不会等待镜像后端的响应，也不会把镜像后端的返回内容发给客户端，客户端只会收到主服务（namespace1下的newservice）的响应，符合流量复制的场景预期。
• 跨命名空间权限校验：如果配置后出现后端找不到的报错，检查Traefik绑定的RBAC权限，确保其拥有集群范围所有命名空间下Service、Endpoints、TraefikService资源的读取权限，官方默认部署配置默认自带该权限，手动缩窄过RBAC范围的需要补全对应权限。

内容的提问来源于stack exchange，提问作者Carbonman