Kubernetes实录-集群部署配置(14)：TaoToken 场景下 traefik 1.x DaemonSet 反向代理配置骨架

1. 为什么还在用 traefik 1.x 的 DaemonSet 模式Kubernetes 集群部署里反向代理入口是绕不开的一环。traefik 1.x 虽然官方已经推到 2.x 甚至 3.x但不少存量集群、内网环境、老版本 kubelet 上仍然跑着 1.7.x。原因很现实升级 CRD 体系牵一发动全身而 DaemonSet 模式又特别适合「每个 master 节点都要有一个入口」这种拓扑。它不像 Deployment 那样随机调度而是保证每个符合条件的节点上都起一个 Pod配合 hostPort 或 hostNetwork外部流量直接打到节点 IP 就能进集群。这篇聚焦的是 traefik 1.x 以 DaemonSet 模式做反向代理的配置骨架同时把 AI 工具接入时用到的统一 Key/API 通道配置一起讲清楚。很多人在配完 traefik 之后下一步就是让 Cline、Claude Code、CC Switch 这类工具走集群里的服务这时候 settings.json、config.toml 的骨架怎么写、连通性怎么验证就成了新的坑点。我会把 DaemonSet YAML、traefik 1.x 配置片段、验证命令以及接入统一 API 通道的配置文件骨架都交付出来你可以直接复制改。适合谁看正在维护 Kubernetes 1.14 到 1.20 之间老集群的运维、需要给 AI 编码工具配内网入口的开发者、以及想搞明白 DaemonSet 和 Deployment 在入口层差异的同学。下面从环境准备开始一步步落地。2. 前置准备TaoToken 统一 Key 与集群环境在动 traefik 之前先把两件事理清楚集群节点角色以及 AI 工具侧的统一 Key 通道。集群这边我用的是一套三 master 三 worker 的拓扑master 节点同时承担 proxy 角色DaemonSet 只调度到 master 上。节点信息大致如下你按自己的实际 IP 替换。主机名IP角色说明master-110.99.12.201master/proxy跑 traefik DaemonSetmaster-210.99.12.202master/proxy跑 traefik DaemonSetmaster-310.99.12.203master/proxy跑 traefik DaemonSetnode-110.99.12.204worker业务负载node-210.99.12.205worker业务负载node-310.99.12.206worker业务负载AI 工具侧如果你要让 Cline、Claude Code 这类工具走一个统一的 API 通道而不是每个工具各配一套 Key那 TaoToken 的 API 地址就是https://taotoken.net/api。它的作用是给你一个统一的 Key 和入口工具侧只需要改 base_url 和 api_key 两个字段。官网入口在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 注册后到控制台生成 Key地址是 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 。Key 生成页在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。注意集群里 traefik 的入口和 AI 工具的 API 通道是两层东西。traefik 负责把外部 HTTP 流量转发到集群内 ServiceAI 工具走的是出站 HTTPS 请求。两者不要混在一个配置里但可以共用同一套域名和证书体系。先把 traefik 1.7.8 的部署文件拉下来这是后面所有 YAML 的来源。mkdir -p kubernetes/traefik cd kubernetes/traefik wget https://github.com/containous/traefik/archive/v1.7.8.zip unzip v1.7.8.zip cd traefik-1.7.8/examples/k8s/ ls -1你会看到traefik-ds.yaml、traefik-rbac.yaml、ui.yaml这几个关键文件。DaemonSet 模式只需要这三个Deployment 相关的traefik-deployment.yaml不用管。3. 可复制配置DaemonSet YAML 与 traefik 1.x 片段3.1 RBAC 先落地traefik 要监听 Ingress 资源变化必须有对应权限。先应用 RBAC再确认 ClusterRole 建出来了。kubectl apply -f traefik-rbac.yaml kubectl get clusterrole traefik-ingress-controller输出里能看到traefik-ingress-controller这个 ClusterRole 就对了。如果报 already exists说明之前建过直接继续。3.2 改造 traefik-ds.yaml 只调度到 master官方给的traefik-ds.yaml默认会在所有节点起 Pod这显然不是我们想要的。需要加nodeSelector和tolerations让它只落在带 master 标签的节点上。关键片段如下你对照自己的文件改。kind: DaemonSet apiVersion: extensions/v1beta1 metadata: name: traefik-ingress-controller namespace: kube-system labels: k8s-app: traefik-ingress-lb spec: selector: matchLabels: k8s-app: traefik-ingress-lb template: metadata: labels: k8s-app: traefik-ingress-lb name: traefik-ingress-lb spec: serviceAccountName: traefik-ingress-controller terminationGracePeriodSeconds: 60 tolerations: - key: node-role.kubernetes.io/master operator: Equal value: effect: NoSchedule nodeSelector: node-role.kubernetes.io/master: containers: - image: traefik:v1.7.8 name: traefik-ingress-lb ports: - name: http containerPort: 80 hostPort: 80 - name: admin containerPort: 8080 hostPort: 8080 args: - --api - --kubernetes - --logLevelINFO这里有两个点值得说。tolerations是为了容忍 master 节点的 NoSchedule 污点否则 Pod 根本调度不上去。hostPort把容器端口直接映射到节点端口这样外部访问master_ip:80就能进 traefik。如果你不想占用 80可以改成 8000 之类。应用并检查kubectl apply -f traefik-ds.yaml kubectl get pods -n kube-system -o wide | grep traefik正常的话三个 master 上各有一个 Running 的 PodIP 分别是各节点 IP。3.3 traefik 1.x 的 TOML 配置片段traefik 1.x 支持用 ConfigMap 挂 TOML 配置文件比纯命令行参数更好维护。下面是一个骨架包含入口点、dashboard、kubernetes provider 三块。# traefik.toml logLevel INFO defaultEntryPoints [http] [entryPoints] [entryPoints.http] address :80 [entryPoints.dashboard] address :8080 [api] entryPoint dashboard [kubernetes] endpoint https://kubernetes.default.svc namespaces [default, kube-system] labelSelector exposetraefiklabelSelector这个字段很关键它让 traefik 只处理带exposetraefik标签的 Service避免把集群里所有服务都暴露出去。挂载方式是在 DaemonSet 的 volume 里加 ConfigMap然后 args 里用--configfile/config/traefik.toml指定。3.4 用 traefik 代理 dashboard 自身ui.yaml是官方给的 demo用 traefik 代理 traefik 自己的 dashboard。内容如下host 按你的域名改。apiVersion: v1 kind: Service metadata: name: traefik-web-ui namespace: kube-system spec: selector: k8s-app: traefik-ingress-lb ports: - name: web port: 80 targetPort: 8080 --- apiVersion: extensions/v1beta1 kind: Ingress metadata: name: traefik-web-ui namespace: kube-system spec: rules: - host: traefik-ui.example.com http: paths: - path: / backend: serviceName: traefik-web-ui servicePort: web应用后在浏览器所在机器改 hosts把traefik-ui.example.com指向任意一个 master IP就能通过域名访问 dashboard。4. 验证请求与成功结果4.1 集群侧验证先确认 Service 和 Ingress 都建出来了。kubectl get svc -n kube-system traefik-ingress-service kubectl get svc -n kube-system traefik-web-ui kubectl get ingress -n kube-systemtraefik-ingress-service是 ClusterIP 类型端口 80 和 8080。traefik-web-ui也是 ClusterIP80 映射到 8080。Ingress 里能看到traefik-web-ui对应的 host。再确认 Pod 分布kubectl get pods -n kube-system -o wide | grep traefik三个 master 各一个状态 Running节点 IP 正确。4.2 外部访问验证在能连通 master 的机器上直接 curl 节点 IP 的 8080 端口看 dashboard 是否返回。curl -s -o /dev/null -w %{http_code}\n http://10.99.12.201:8080/dashboard/返回 200 就说明 traefik 的 admin 入口通了。再用域名方式验证 Ingress 转发curl -s -H Host: traefik-ui.example.com http://10.99.12.201/ | head -20如果返回的是 dashboard 的 HTML说明 Ingress 规则生效traefik 正确把请求转发到了traefik-web-uiService。4.3 AI 工具侧连通性验证集群入口通了之后验证 AI 工具走统一 API 通道。以 curl 模拟一次模型列表请求curl -s https://taotoken.net/api/v1/models \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json | head -40返回 JSON 里包含模型列表就说明 Key 和通道都正常。这一步和 traefik 无关但它是后面配置文件能跑通的前提。5. 接入 TaoToken 的配置文件骨架与 CC Switch/Cline 要点5.1 settings.json 骨架Claude Code / 类工具很多工具用settings.json存 API 配置。骨架如下重点是base_url和api_key两个字段。{ api: { base_url: https://taotoken.net/api, api_key: sk-你的TaoTokenKey, model: claude-3-5-sonnet, timeout: 60 }, tools: { auto_approve: false, max_tokens: 8192 } }base_url末尾不要带/v1具体路径由工具自己拼。api_key从控制台生成别硬编码进 Git 仓库用环境变量注入更稳。5.2 config.toml 骨架Cline / 其他 TOML 工具有些工具偏好 TOML骨架长这样[provider] name taotoken base_url https://taotoken.net/api api_key sk-你的TaoTokenKey model claude-3-5-sonnet [request] timeout 60 max_retries 3max_retries建议设 3网络抖动时自动重试比手动重跑省事。5.3 CC Switch 配置要点CC Switch 这类工具的核心是「切换不同 provider」。配置时注意三点第一base_url 统一填https://taotoken.net/api不要每个 provider 各写一套第二api_key 用同一个 TaoToken Key切换 provider 时只改 model 字段第三如果工具支持 profile把 TaoToken 单独存一个 profile避免和其他 Key 混在一起。5.4 Cline 配置要点Cline 在 VS Code 里配置时provider 选 OpenAI Compatiblebase_url 填https://taotoken.net/apiapi_key 填 TaoToken Keymodel 填你要用的模型名。保存后发一条测试消息能正常返回就说明通了。如果报 401先检查 Key 有没有多余空格如果报 404检查 base_url 是不是多写了/v1。6. 本篇常见错排查6.1 DaemonSet Pod 一直 Pending最常见的原因是 nodeSelector 和节点标签不匹配。先查节点标签kubectl get nodes --show-labels | grep master确认 master 节点上有node-role.kubernetes.io/master这个标签。如果没有手动打上kubectl label node master-1 node-role.kubernetes.io/master另一个原因是 tolerations 没配对master 节点的污点没被容忍。用kubectl describe pod看 Events会明确告诉你是不是污点问题。6.2 8080 端口访问不通先确认 Pod 里 traefik 进程在监听 8080kubectl exec -n kube-system traefik-ingress-controller-xxxxx -- netstat -tlnp | grep 8080如果容器里没 netstat用ss -tlnp。如果进程没监听检查 args 里有没有--api和--api.entrypointdashboard。如果进程在监听但外部访问不通检查 hostPort 有没有被防火墙拦或者节点上有没有别的进程占了 8080。6.3 Ingress 不生效traefik 1.x 默认监听所有 namespace 的 Ingress但如果你在 TOML 里配了namespaces白名单就要确认目标 Ingress 在名单里。另外labelSelector如果设了exposetraefik那 Service 必须带这个标签否则 traefik 不认。用 dashboard 的 frontends/backends 页面能看到当前识别到的规则比猜快得多。6.4 AI 工具报 401/403先确认 Key 有没有过期到控制台重新生成一个。再确认请求头格式是Authorization: Bearer sk-xxx不是x-api-key。如果工具用的是自定义 header对照接入文档改。403 通常是 Key 权限不够检查控制台里这个 Key 有没有绑定对应模型。6.5 配置文件改了不生效settings.json 和 config.toml 改完要重启工具进程很多工具不会热加载。Cline 在 VS Code 里改完配置后建议 reload window。CC Switch 改完 profile 后切换一次 provider 再切回来强制重读。7. 继续往下走traefik 1.x 的 DaemonSet 骨架到这里就完整了RBAC、DaemonSet、TOML 配置、Ingress demo、验证命令、AI 工具配置骨架、排障清单。如果你后面要升级到 traefik 2.x 的 CRD 模式Ingress 那套规则要换成 IngressRoute这是另一个话题但 DaemonSet 的调度逻辑和 nodeSelector 思路是通用的。实际用下来最容易翻车的不是 YAML 本身而是节点标签和污点没对齐以及 AI 工具侧 base_url 多写或少写路径。把这两处盯住剩下的都是体力活。集群入口通了之后AI 工具的 Key 统一走一个通道切换模型只改一个字段维护成本会低很多。