测试开发笔记

背景

网上关于traefik的ip黑名单功能的文章几乎没有，ChatGPT讲解的也不太对，于是我根据自己的使用经验记录下在kubernetes里，使用traefik的denyip插件，配置IP黑名单功能，可以对单独的ingress(域名)生效，也可以对整个entrypoint(端口)生效

---

traefik的denyip安装

1.去traefik插件中间，找到denyip插件的信息

https://plugins.traefik.io/plugins/62947363ffc0cd18356a97d1/deny-ip-plugin

2.参考traefik官方helmchart编写values-traefik.yaml文件(https://github.com/traefik/traefik-helm-chart/blob/master/traefik/values.yaml)

# 这里只贴下载插件模块的代码
experimental:
  plugins:
    denyip:
      moduleName: github.com/kevtainer/denyip
      version: v1.0.0

3.安装traefik

helm upgrade --install traefik -n traefik -f values-traefik.yaml traefik/traefik --version 26.0.0

#安装完之后，可以检查pod，会发现在pod配置里添加上了插件信息
kubectl describe pod -n traefik traefik-txxqm

---

对整个entrypoint限制IP访问（例如限制IP访问80端口下的所有域名）

1.添加middleware.yaml文件，例如禁用192.168.1.1的IP访问

apiVersion: traefik.containo.us/v1alpha1
kind: Middleware
metadata:
    name: denyip
    namespace: traefik
spec:
    plugin:
        denyip:
            ipDenyList:
                - 192.168.1.1

添加完后，使用kubectl apply -f middleware.yaml命令使其生效

2.编辑values-traefik.yaml文件，修改ports部分，找到80端口部分，修改代码如下，只生效于80端口，443端口不生效。

ports:
  web:
    port: 80
    expose: true
    exposedPort: 80 # 对外的 HTTP 端口号，使用标准端口号在国内需备案
    middlewares:
     - traefik-denyip@kubernetescrd
  websecure:
    port: 443
    expose: true
    exposedPort: 443 # 对外的 HTTPS 端口号，使用标准端口号在国内需备案

3.再次安装traeifk

helm upgrade –install traefik -n traefik -f values-traefik.yaml traefik/traefik –version 26.0.0

4,去dashboard页面检查，会发现在这个entrypoint的所有ingress的配置里，都会加上该middleware

---

对单一IngressRoute生效(例如对指定域名或路径)

1.添加middleware.yaml文件，例如禁用192.168.1.1的IP访问

apiVersion: traefik.containo.us/v1alpha1
kind: Middleware
metadata:
    name: denyip
    namespace: traefik
spec:
    plugin:
        denyip:
            ipDenyList:
                - 192.168.1.1

添加完后，使用kubectl apply -f middleware.yaml命令使其生效

2.这里有一个注意点，往往我们的ingress和middleware不一定在同一个namespace，这个时候需要在安装traefik的时候启用【允许使用跨命名空间】功能，修改values-traefik.yaml，添加如下配置：

providers:
  kubernetesCRD:
    allowCrossNamespace: true

然后再次安装

helm upgrade --install traefik -n traefik -f values-traefik.yaml traefik/traefik --version 26.0.0

3.修改需要使用middleware的ingressroute文件，和service同级增加middlewares信息

4.修改完成后，再去dashboard页面检查，会发现只有该http route有middleware信息，不会影响其他域名的正常访问