1. 为什么要在 K8s 里用 Traefik 做 Ingress 路由如果你正在搭一套本地或测试用的 K8s 集群想把集群里的服务暴露出去又不想写一堆 Nginx 配置Traefik 是个很顺手的选择。它是什么简单说Traefik 是一个云原生反向代理和 Ingress Controller能自动监听 K8s 里的 Ingress、IngressRoute 等资源变化实时生成路由规则不用你手动 reload。它能做什么把外部请求按域名或路径转发到集群内的 Service同时自带一个 Web UI 面板能看到当前生效的路由和后端。适合谁适合正在学 K8s 网络、需要快速验证服务暴露链路的开发和运维同学尤其是用 Helm 管理组件的场景。这篇要跑通的完整链路是外部 curl 请求 → Traefik 入口 → IngressRoute 规则匹配 → 后端 Service → Pod。中间我会把 TaoToken 的统一 Key 通道接进来用一个后端服务去调用模型 API这样你既练了 Traefik 路由又顺手把统一 Key 的接入方式走了一遍。TaoToken 在这里的角色是提供统一的 API 通道和 Key 管理你不需要在集群里散落多个厂商的 Key一个 Key 走一个 Base URL 就能调不同模型。官网入口在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 地址是 https://taotoken.net/api 注意 API 地址不带 UTM 参数。我试过在测试集群里用 Helm 装 Traefik比早期手写 Deployment DaemonSet 的 YAML 省事很多尤其是 CRD 和 RBAC 都是 chart 自动带的。下面从环境准备开始一步步给你可复制的配置。2. 前置准备集群、Helm 与 TaoToken Key 获取先把环境对齐。你需要一个能用的 K8s 集群单节点 kind/minikube 或者多节点测试集群都行kubectl 能正常连上。Helm 建议 3.x用helm version确认。然后确认集群里没有别的 Ingress Controller 占着 80/443不然会冲突可以用kubectl get svc -A | grep -i ingress看一眼。TaoToken 这边你需要拿到一个 API Key。登录后进控制台在 API Keys 页面创建一个 Key复制出来备用。这个 Key 后面会以 Secret 的形式注入到后端 Pod不会硬编码在镜像里。控制台地址是 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API Keys 页面是 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。如果你只是想先验证模型通道通不通可以先用模型对话页面发一条请求试试地址是 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。添加 Traefik 的 Helm 仓库helm repo add traefik https://traefik.github.io/charts helm repo update创建命名空间kubectl create namespace traefik这里有个坑要提前说Traefik 的 CRD 在 chart 里默认会安装但如果你集群里已经有旧版本 CRD升级时可能报metadata.annotations: Too long或者 CRD 版本冲突。遇到的话先kubectl get crd | grep traefik看看已有版本必要时手动删掉旧 CRD 再装。另外TaoToken 的 Key 不要写进 values.yaml 提交到仓库用 Secret 单独管理后面会给命令。3. 可复制的 Traefik Helm values 与 IngressRoute 配置这一节是核心给你一份能直接用的 values.yaml。我把它放在traefik-values.yaml字段含义用注释标清楚。# traefik-values.yaml deployment: replicas: 2 ingressRoute: dashboard: enabled: true # 通过 IngressRoute 暴露 dashboard方便本地调试 matchRule: Host(traefik.local) ports: web: port: 8000 expose: default: true exposedPort: 80 websecure: port: 8443 expose: default: true exposedPort: 443 service: type: NodePort # 本地/测试集群用 NodePort云上可换 LoadBalancer providers: kubernetesCRD: enabled: true allowCrossNamespace: true kubernetesIngress: enabled: true logs: general: level: INFO api: dashboard: true安装命令helm install traefik traefik/traefik \ -n traefik \ -f traefik-values.yaml装完确认 Pod 和 Servicekubectl get pods -n traefik kubectl get svc -n traefik你会看到traefik这个 Service 是 NodePort记下 80 对应的 NodePort比如 31234。接下来创建后端服务。这里用一个简单的模型调用服务做后端它读取环境变量里的 TaoToken Key 和 Base URL。先建 Secretkubectl create secret generic taotoken-secret \ --from-literalTAOTOKEN_API_KEY你的Key \ -n default然后写 Deployment 和 Service# backend.yaml apiVersion: apps/v1 kind: Deployment metadata: name: taotoken-backend namespace: default spec: replicas: 1 selector: matchLabels: app: taotoken-backend template: metadata: labels: app: taotoken-backend spec: containers: - name: backend image: nginx:alpine # 演示用实际替换为你的模型调用服务镜像 ports: - containerPort: 80 env: - name: TAOTOKEN_API_KEY valueFrom: secretKeyRef: name: taotoken-secret key: TAOTOKEN_API_KEY - name: TAOTOKEN_BASE_URL value: https://taotoken.net/api --- apiVersion: v1 kind: Service metadata: name: taotoken-backend namespace: default spec: selector: app: taotoken-backend ports: - port: 80 targetPort: 80应用kubectl apply -f backend.yaml现在写 IngressRoute把外部请求路由到后端# ingressroute.yaml apiVersion: traefik.io/v1alpha1 kind: IngressRoute metadata: name: taotoken-backend-route namespace: default spec: entryPoints: - web routes: - match: Host(api.local) PathPrefix(/v1) kind: Rule services: - name: taotoken-backend port: 80应用kubectl apply -f ingressroute.yaml注意entryPoints要和你 values 里的web对上match里的 Host 是你本地 hosts 要解析的域名。这里三件套齐了Base URL 是https://taotoken.net/apiKey 在 Secret 里Model ID 在你后端服务调用时指定比如gpt-4o-mini或你账号下可用的模型。如果你用 Claude Code 做编码接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content Coding Plan 在 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。4. 验证请求从 curl 到成功结果先确认 Traefik 的 NodePortkubectl get svc traefik -n traefik -o wide假设 80 映射到 31234节点 IP 是 192.168.1.10。在本地 hosts 加一行192.168.1.10 api.local traefik.local然后 curl 后端curl -H Host: api.local http://192.168.1.10:31234/v1如果后端是 nginx你会看到默认欢迎页的 HTML说明路由通了。如果后端是你的模型调用服务返回的应该是模型响应 JSON。再验证 dashboardcurl -H Host: traefik.local http://192.168.1.10:31234/dashboard/浏览器打开http://traefik.local:31234/dashboard/能看到路由列表taotoken-backend-route应该在里面状态是启用。验证模型通道是否真的走通可以在后端 Pod 里直接调一次kubectl exec -it deploy/taotoken-backend -- sh # 容器内 curl https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d {model:gpt-4o-mini,messages:[{role:user,content:ping}]}返回带choices的 JSON 就说明 Key 和 Base URL 都对。这一步很关键因为 Traefik 只负责把请求送到后端后端能不能调通模型是另一回事分开验证能快速定位问题在哪一层。5. 本篇常见错排查401、local proxy failed、reading choices报错一401 Unauthorized。这个最常见说明 Key 没传对或者 Secret 没挂上。先检查 Pod 里环境变量kubectl exec -it deploy/taotoken-backend -- env | grep TAOTOKEN如果TAOTOKEN_API_KEY是空的说明 Secret 名字或 key 写错了。注意 Secret 的 key 是TAOTOKEN_API_KEYsecretKeyRef.key要完全一致。另外确认请求头是Authorization: Bearer key少个空格也会 401。报错二local proxy failed。这个通常出现在你本地用代理工具或者集群节点网络不通时。先确认节点能不能直接访问https://taotoken.net/apikubectl run test --rm -it --imagecurlimages/curl -- sh curl -v https://taotoken.net/api如果卡住或超时检查集群的 DNS 和出网策略。测试集群如果用了 NetworkPolicy要放行 egress。报错三reading choices 相关解析错误。比如后端日志里出现cannot read property choices of undefined说明返回体不是预期的模型响应格式。可能是 Base URL 写成了https://taotoken.net少了/api或者模型 ID 拼错。用上一节的 curl 单独测一次确认返回结构。报错四OAuth 或认证跳转。如果你在 dashboard 或某些页面遇到 OAuth 相关提示检查是不是访问了需要登录的控制台页面而不是 API。API 调用只用 Key不走 OAuth。控制台相关操作在 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。报错五IngressRoute 不生效。kubectl get ingressroute -A看资源在不在kubectl describe ingressroute taotoken-backend-route -n default看事件。常见原因是entryPoints名字和 Traefik 实际的不一致用kubectl get svc traefik -n traefik -o yaml看端口名。6. 把统一 Key 通道接到你的编码工作流Traefik 路由跑通之后你可以把 TaoToken 的 Key 复用到日常编码工具里。比如 Claude Code 这类工具接入时填三件套Base URL 填https://taotoken.net/apiKey 填你创建的 KeyModel ID 填你账号下可用的模型。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 里面有各工具的配置示例。如果你长期做编码和 Agent 任务Coding Plan 在 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 可以看下额度方案。回到集群这边一个实用技巧把 Traefik 的 dashboard 用 IngressRoute 暴露后你可以直接在面板里看到每个路由的请求量和响应码排查 401 和 502 特别快。另外 values 里allowCrossNamespace: true打开后IngressRoute 可以跨命名空间引用 Service适合多团队共用一个 Traefik 的场景。最后记得把traefik-values.yaml和ingressroute.yaml一起提交到你的 GitOps 仓库下次重建集群直接 apply 就行。