Traefik 转发 TCP 到 MySQL 集群以及浅析服务器环境，zk 集群搭建

1. 从 port-forward 说起为什么要把 TCP 流量交给 Traefik如果你在本地用 minikube 或单机 k8s 跑 MySQL 主从、ZooKeeper 集群大概率经历过这样的场景每次连数据库都要先开一个kubectl port-forward终端一关连接就断换个客户端又得重新转发。更麻烦的是端口每次重建 Service 后可能变化昨天记的30414今天就连不上了。Traefik 的 TCP 路由能解决这个问题。它作为集群入口网关把外部固定端口比如 8006 给 MySQL、8007 给 ZooKeeper转发到 k8s 内部 Service 的 NodePort 上。外部客户端只需要记住一个稳定地址不用关心后端 Pod 怎么调度、NodePort 怎么漂移。这篇面向运维和后端工程师交付四样东西可复制的 Traefik TCP 路由配置、MySQL 集群接入参数、ZooKeeper 集群 config 骨架、连通性验证命令。同时说明如何用 TaoToken 统一管理相关 AI 工具比如 Claude Code、Coding Plan的 Key 和 API 通道避免多个工具各自维护密钥。适合谁正在用 minikube/单节点 k8s 跑有状态服务、被 port-forward 折磨、想用 Traefik 做统一 TCP 入口的人。下面所有配置我都实际跑过踩过的坑会标出来。2. TaoToken 前置统一 Key 与 API 通道在动手配 Traefik 之前先把 AI 工具侧的通道理顺。运维场景里经常要同时用多个 AI 辅助工具一个查报错、一个写脚本、一个做代码补全。如果每个工具都单独配 Key密钥散落各处轮换时非常痛苦。TaoToken 的思路是提供一个统一的 API 入口把模型对话、编码计划、控制台管理收敛到一套 Key 体系里。官网入口在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 基址是 https://taotoken.net/api 这个地址不加 UTM 参数直接用于代码里。具体到本篇场景你可能会用到的几个入口模型对话https://taotoken.net/api/chat 用于临时问 Traefik 配置报错、YAML 语法问题Coding Planhttps://taotoken.net/coding-plan 长期写运维脚本、Ansible playbook 时用控制台https://taotoken.net/console 查看用量、管理 KeyAPI Keys 管理https://taotoken.net/api-keys 生成和轮换密钥接入文档https://taotoken.net/doc 查具体参数Claude Code 接入https://taotoken.net/claude-code 如果你用 Claude Code 做运维自动化统一 Key 的好处是Traefik 配置写错时你可以在一个对话窗口里贴报错、拿修复建议不用在多个工具间切换登录。下面进入正题。3. 可复制配置Traefik TCP 路由 MySQL ZooKeeper3.1 服务器环境与网络拓扑我的环境是一台云服务器上面跑两个 Docker 容器一个是 Traefik总网关一个是 minikube单节点 k8s。外部流量先经过云服务器防火墙再映射到 Traefik 容器端口由 Traefik 按规则转发到 minikube 里 Service 暴露的 NodePort。先确认两个容器在同一网络内可以互相通信docker network inspect minikube输出里能看到 Traefik 和 minikube 都在minikube这个 network 下这样 Traefik 才能访问到 minikube 的 NodePort。如果不在同一网络Traefik 转发会直接超时。3.2 Traefik 动态配置mysql.yaml 与 zookeeper.yamlTraefik v2 用 file provider 加载动态配置。在conf目录下放两个文件。mysql.yamltcp: routers: mysql-master: rule: HostSNI(*) service: mysql entryPoints: - mysql services: mysql: loadBalancer: servers: - address: 192.168.49.2:30414zookeeper.yamltcp: routers: zk: rule: HostSNI(*) service: zk entryPoints: - zookeeper services: zk: loadBalancer: servers: - address: 192.168.49.2:32358这里的关键点TCP 路由没有 HTTP 的 Host 头所以rule必须写HostSNI(\)。SNI 是 TLS 的扩展字段纯 TCP 没有证书时用 通配即可。如果你写了具体域名但没配证书路由不会生效。address里的 IP 是 minikube 节点 IP端口是 Service 的 NodePort。这两个值必须和kubectl get svc查出来的一致写错就是连接超时。3.3 docker-compose.yaml入口点与挂载version: 3 services: traefik: image: traefik:v2.9 command: - --api.insecuretrue - --providers.docker - --providers.file.directory/etc/traefik/conf - --log.filePath/var/log/traefik/traefik.log - --log.formatjson - --log.levelDEBUG - --accesslogtrue - --accesslog.filepath/var/log/traefik/access.log - --accesslog.formatjson - --entryPoints.zookeeper.address:8007 - --entryPoints.web.address:80 - --entryPoints.mysql.address:8006 ports: - 8002:80 - 8080:8080 - 8007:8007 - 8006:8006 volumes: - /var/run/docker.sock:/var/run/docker.sock - /home/yang4ye/traefik-docker/conf:/etc/traefik/conf - /home/yang4ye/logs/traefik:/var/log/traefik - /etc/localtime:/etc/localtime:ro - /etc/timezone:/etc/timezone:ro networks: - minikube extra_hosts: - java4ye.test:192.168.49.2 - java4ye2.test:192.168.49.2 networks: minikube: external: true两个 TCP 入口点mysql8006和zookeeper8007必须在这里声明否则动态配置里的entryPoints找不到对应监听。--providers.file.directory指向挂载的 conf 目录Traefik 会自动加载里面的 yaml。启动后访问http://服务器IP:8080打开 Traefik 面板在 TCP 标签页下应该能看到mysql-master和zk两个路由状态正常。3.4 ZooKeeper 集群 config 骨架用 Bitnami 的 helm chart 起 3 节点 ZK 集群helm install zookeeper bitnami/zookeeper --namespace prod -f config.yamlconfig.yaml骨架replicaCount: 3 resources: limits: cpu: 1000m memory: 1Gi requests: memory: 256Mi cpu: 250m service: type: NodePort # 多副本情况下 persistence 的 existingClaim 只支持单个不适用 # persistence: # enabled: true # existingClaim: zookeeper-pvc注意persistence.existingClaim在多副本场景下只支持单个 claim3 个 ZK 节点会冲突。默认情况下 chart 会自己在 minikube 主机上创建 hostPath 存储数据最终落在 minikube 这个 Docker 节点里。ZK 主要承担分布式锁和机器 ID 角色数据量不大暂时不映射到主机也可以接受。4. 验证请求与成功结果4.1 验证 MySQL TCP 转发先查 Service 的 NodePortkubectl get svc -n prod拿到 MySQL 的 NodePort比如 30414确认和mysql.yaml里的 address 一致。然后从外部机器连mysql -h 服务器IP -P 8006 -u root -p能进 MySQL 命令行就说明 Traefik 的 TCP 转发通了。如果卡住看 Traefik 的 access.logtail -f /home/yang4ye/logs/traefik/access.log正常会看到mysql-master路由的转发记录。4.2 验证 ZooKeeper 连通性用 PrettyZoo 客户端New 一个连接填服务器 IP 和端口 8007能列出 ZNode 树就成功。命令行方式echo ls / | nc 服务器IP 8007或者进 ZK 容器用zkCli.shkubectl exec -it zookeeper-0 -n prod -- zkCli.sh -server localhost:2181在交互里执行ls /、create /test hello、get /test能正常读写说明集群可用。4.3 确认 Traefik 面板状态打开http://服务器IP:8080TCP 标签下两个路由都是绿色。如果某个路由显示 error点进去看具体原因通常是 address 写错或 entryPoint 没声明。5. 本篇常见错排查5.1 address 端口写错导致连接秒断这是最容易踩的坑。我早上就遇到Traefik 动态配置里的 address 写的是第一次搭建 MySQL 集群时的 port中间因为其他测试重新发布了好几次Service 暴露的 NodePort 变了但配置文件没同步。表现是连接上去后十几秒断开或者直接拒绝。排查方法kubectl get svc -n prod对比 NodePort 和配置文件里的 address。每次重建 Service 后都要核对。5.2 HostSNI 写成具体域名但没证书TCP 路由的rule如果写成HostSNI(\mysql.example.com)但没配 TLS 证书路由不会匹配任何流量。纯 TCP 场景统一用HostSNI(*)。5.3 entryPoints 未声明动态配置里引用了mysql和zookeeper两个 entryPoint但 docker-compose 的 command 里没加--entryPoints.mysql.address:8006Traefik 启动时会报 entryPoint 不存在路由加载失败。检查 command 参数和 ports 映射是否成对出现。5.4 容器不在同一网络Traefik 和 minikube 不在同一 Docker network 时Traefik 无法访问 minikube 的 NodePort表现为连接超时。用docker network inspect minikube确认两个容器都在。5.5 ZK 多副本 persistence 冲突helm chart 的persistence.existingClaim只支持单个 claimreplicaCount 大于 1 时不要开这个配置否则 Pod 会一直 Pending。默认 hostPath 方案在多副本下可用。5.6 防火墙未放行端口云服务器安全组要放行 8006、8007、8080。本地telnet 服务器IP 8006不通先查安全组再查 Traefik。6. 语义一致 CTA把 AI 工具通道也统一起来Traefik 解决的是流量入口统一TaoToken 解决的是 AI 工具 Key 和 API 通道统一两者思路一致收敛入口减少散落配置。如果你在排障过程中需要快速查 Traefik 报错、YAML 语法、ZK 集群参数可以直接用模型对话入口 https://taotoken.net/api/chat 。长期写运维脚本、Ansible playbook、K8s manifest 的话Coding Plan https://taotoken.net/coding-plan 更合适。Key 的生成和轮换在 https://taotoken.net/api-keys 接入细节查 https://taotoken.net/doc 。用 Claude Code 做自动化运维的接入方式在 https://taotoken.net/claude-code 。配置改完后记得重启 Traefik 容器让动态配置生效docker restart traefik然后重新验证 8006 和 8007 两个端口的连通性。整套跑通后外部客户端只需要记住服务器 IP 加固定端口不用再管 port-forward 和 NodePort 漂移。