EntryPoints

监听传入连接/请求

配置示例¶

entryPoints:
  web:
    address: :80
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
          permanent: true
    observability:
      accessLogs: false
      metrics: false
      tracing: false

  websecure:
    address: :443
    http:
      tls: {}
      middlewares:
        - default-auth@kubernetescrd
        - default-strip@kubernetescrd

[entryPoints]
  [entryPoints.web]
    address = ":80"
    [entryPoints.web.http]
      [entryPoints.web.http.redirections.entryPoint]
        to = "websecure"
        scheme = "https"
        permanent = true
    [entryPoints.web.observability]
      accessLogs = false
      metrics = false
      tracing = false

  [entryPoints.websecure]
    address = ":443"
    [entryPoints.websecure.http]
      middlewares = ["default-auth@kubernetescrd", "default-strip@kubernetescrd"]
      [entryPoints.websecure.http.tls]

## Values file
ports:
  web:
    port: :80
  websecure:
    port: :443
    tls:
      enabled: true
    middlewares:
      - default-auth@kubernetescrd
      - default-strip@kubernetescrd
additionalArguments:
  - --entryPoints.web.http.redirections.entryPoint.to=websecure
  - --entryPoints.web.http.redirections.entryPoint.scheme=https
  - --entryPoints.web.http.redirections.entryPoint.permanent=true
  - --entryPoints.web.observability.accessLogs=false
  - --entryPoints.web.observability.metrics=false
  - --entryPoints.web.observability.tracing=false

配置选项¶

asDefault¶

如果没有任何入口点将 asDefault 选项设为 true，那么 默认入口点列表包含所有 HTTP/TCP 入口点。

如果至少一个入口点将 asDefault 选项设为 true， 那么默认入口点列表仅包含将 asDefault 选项设为 true 的入口点。

一些内置入口点始终被排除在此列表之外，即 traefik。

asDefault 选项对 UDP 入口点无效。 UDP 路由器未定义入口点选项时，会附加到所有 可用的 UDP 入口点。

allowACMEByPass¶

默认情况下，Traefik 创建具有最高优先级（MaxInt）的内部路由器来处理 ACME HTTP 和 TLS 质询。这确保了证书质询始终能够成功， 但也会阻止任何用户定义的路由器拦截同一入口点上的质询请求。

在入口点上将 allowACMEByPass 设为 true 时：

• 创建内部 ACME HTTP 质询路由器时不显式指定高优先级， 从而允许用户定义的路由器处理质询请求。
• 在入口点上启用 TLS-ALPN 质询透传， 从而允许用户定义的 TLS 路由器处理 TLS 质询。

当需要自定义处理 ACME 质询时，这很有用， 例如使用专门的服务来解决 HTTP-01 或 TLS-ALPN-01 质询。

entryPoints:
  web:
    address: ":80"
    allowACMEByPass: true

[entryPoints.web]
  address = ":80"
  allowACMEByPass = true

--entryPoints.web.address=:80
--entryPoints.web.allowACMEByPass=true

http.middlewares¶

• 可以为每个入口点附加一个中间件列表， 供该入口点使用。
• 中间件仅在规则匹配时生效，并且在将请求转发 到服务之前执行。
• 中间件按照声明顺序应用。
• 默认情况下，中间件应用于通过该入口点暴露的每个路由器 （在 IngressRoute 或 Ingress 上声明的中间件， 在入口点上声明的中间件之后应用）

• 必须使用中间件的完全限定名称引用它，包括 提供者命名空间 后缀（<middleware-name>@<provider-name>）。具体值取决于 声明该中间件的提供者：

  提供者	格式	示例
  File	<middleware-name>@file	strip@file
  Docker	<middleware-name>@docker	strip@docker
  Kubernetes CRD	<middleware-namespace>-<middleware-name>@kubernetescrd	default-auth@kubernetescrd

  启用 safeNaming 时，Kubernetes CRD 的值变为 <middleware-namespace>_<middleware-name>@kubernetescrd，使用与该提供者生成的其他名称相同的 _ 分隔符。

entryPoints:
  web:
    address: :80
    http:
      middlewares:
        - default-auth@kubernetescrd
        - strip@file

ports:
  web:
    port: :80
    http:
      middlewares:
        - default-auth@kubernetescrd
        - strip@file

encodeQuerySemicolons¶

行为示例：

aliasHeadersStrategy¶

可选，默认值=keep

aliasHeadersStrategy 选项定义路由之前如何处理名称为另一请求头名称别名的请求头：

• keep：具有别名名称的请求头按原样转发（默认）。
• delete：任何名称中包含既非字母、数字，也非连字符的字符的请求头，都会被静默移除。
• reject：任何请求只要携带名称中包含既非字母、数字，也非连字符的字符的请求头，都会被拒绝并返回 400 Bad Request 响应。

Go 只基于连字符规范化请求头名称，因此会将 X-Auth-User、X_Auth_User 和 X.Auth.User 作为三个 不同的请求头处理，而根据请求头名称生成变量名的后端（CGI、WSGI、PHP、NGINX 等） 会将它们全部读取为同一个 HTTP_X_AUTH_USER 变量。

下划线和点并非唯一涉及的字符：除字母、数字和连字符之外，HTTP 允许在请求头名称中使用的 每种字符都能构成这样的别名，即 !、#、$、%、&、'、*、+、.、^、_、 `、| 和 ~。更多详情参见具有别名名称的请求头安全文档， 其中有进一步说明。

管理请求头的中间件（例如 ForwardAuth 的 authResponseHeaders 选项）仅管理其设置的请求头的规范 形式，并依靠此选项防止利用别名名称进行欺骗。 对于每个未配置此选项的入口点，Traefik 都会在启动时记录警告。

entryPoints:
  websecure:
    address: ':443'
    http:
      aliasHeadersStrategy: delete

[entryPoints.websecure]
  address = ":443"

  [entryPoints.websecure.http]
    aliasHeadersStrategy = "delete"

--entryPoints.websecure.address=:443
--entryPoints.websecure.http.aliasHeadersStrategy=delete

示例¶

sanitizePath¶

sanitizePath 选项定义是否启用请求路径规范化。 禁用时，传入请求的路径会按原样传给后端。 处理未对请求路径中的数据进行 URL 编码的旧客户端时，这可能很有用。 例如，由于 base64 本身使用 “/” 字符， 如果未对其进行 URL 编码， 将 sanitizePath 选项设为 false 时就可能导致不安全的路由。

示例¶

编码字符¶

出于安全考虑，可以配置 Traefik 来控制如何处理请求路径中的编码字符。 默认情况下，Traefik 不会拒绝路径中含有某些编码字符的请求，而这些字符可能用于路径遍历或其他安全攻击。

以下是默认允许的编码字符列表：

转发头¶

可以配置 Traefik 信任转发头信息（X-Forwarded-*）。

## Static configuration
entryPoints:
  web:
    address: ":80"
    forwardedHeaders:
      trustedIPs:
        - "127.0.0.1/32"
        - "192.168.1.7"

## Static configuration
[entryPoints]
  [entryPoints.web]
    address = ":80"

    [entryPoints.web.forwardedHeaders]
      trustedIPs = ["127.0.0.1/32", "192.168.1.7"]

## Static configuration
--entryPoints.web.address=:80
--entryPoints.web.forwardedHeaders.trustedIPs=127.0.0.1/32,192.168.1.7

## Static configuration
entryPoints:
  web:
    address: ":80"
    forwardedHeaders:
      insecure: true

## Static configuration
[entryPoints]
  [entryPoints.web]
    address = ":80"

    [entryPoints.web.forwardedHeaders]
      insecure = true

## Static configuration
--entryPoints.web.address=:80
--entryPoints.web.forwardedHeaders.insecure

## Static configuration
entryPoints:
  web:
    address: ":80"
    forwardedHeaders:
      connection:
        - foobar

## Static configuration
[entryPoints]
  [entryPoints.web]
    address = ":80"

    [entryPoints.web.forwardedHeaders]
      connection = ["foobar"]

## Static configuration
--entryPoints.web.address=:80
--entryPoints.web.forwardedHeaders.connection=foobar

HTTP3¶

由于 HTTP/3 实际使用 UDP，当 Traefik 在端口 N 上配置了 启用 HTTP/3 的 TCP entryPoint 时，启动的底层 HTTP/3 服务器 还会自动监听 UDP 端口 N。因此， 端口 N 不能再被另一个 UDP entryPoint 使用。 由于 HTTP/3 要求使用 TLS， 只有启用了 TLS 的路由器才能使用 HTTP/3。

ProxyProtocol 与负载均衡器¶

仅对 trustedIPs 中列出的 IP 地址替换远程客户端地址。在此指定负载均衡器的 IP 或 CIDR 范围。

将 Traefik 部署在另一个负载均衡器之后时，务必在两端 配置 PROXY 协议。 否则可能在系统中引入安全风险（允许伪造请求）。

reusePort¶

示例¶

同一入口点上的多个进程：

  entryPoints:
    web:
      address: ":80"
      reusePort: true

  ## Values file
  additionalArguments:
    - --entryPoints.web.reusePort=true

另一主机上同一入口点的多个进程：

entryPoints:
  web:
    address: ":80"
    reusePort: true
  privateWeb:
    address: "192.168.1.2:80"
    reusePort: true

additionalArguments:
  - --entryPoints.web.reusePort=true
  - --entryPoints.privateWeb.address=192.168.1.2:80
  - --entryPoints.privateWeb.reusePort=true

支持的平台¶

reusePort 选项目前仅适用于 Linux、FreeBSD、OpenBSD 和 Darwin。 在其他平台上会被忽略。

Linux 内核存在一个已知缺陷，使用 reusePort 选项时可能造成意外的 TCP 连接 失败。更多详情参见此处。

金丝雀部署¶

将 reusePort 选项与 transport.lifeCycle.gracetimeout 选项结合使用， 即可对 Traefik 自身执行金丝雀部署，例如升级 Traefik 版本 或重新加载静态配置，而无需中断任何服务。

traceVerbosity¶

observability.traceVerbosity 定义附加到此入口点的路由器的链路追踪详细程度。 路由器可以在自身的可观测性配置中覆盖此值。

可选值为：

• minimal：为路由器处理的每个请求生成一个服务器 span 和一个客户端 span。
• detailed：为路由器处理的每个请求中执行的每个中间件创建额外的 span。

Systemd 套接字激活¶

Traefik 支持 systemd 套接字激活。

套接字激活文件描述符的名称与入口点名称匹配时，对应的文件描述符将用作该入口点的 TCP/UDP 监听器。

systemd-socket-activate -l 80 -l 443 --fdname web:websecure  ./traefik --entrypoints.web --entrypoints.websecure