1. 为什么要在 K8S 里把 Traefik 的 TLS 拧到最紧Traefik 是 K8S 集群里常见的 Ingress 入口负责把外部 HTTPS 流量转发到后端 Service。默认情况下Traefik 允许 TLS 1.2 甚至更低版本密码套件也比较宽松HSTS 头默认不返回。对于已经上了生产、域名固定、证书由 cert-manager 自动续期的集群来说这种默认配置其实浪费了安全余量。我这次要做的是在不破坏业务的前提下把 Traefik 的 HTTPS 安全基线拉到最严TLS 最低版本锁到 1.3、HTTP 全量 301 到 HTTPS、HSTS 开启并设置两年有效期、证书统一走 TLSStore 默认证书。整个过程全部通过 Traefik CRD 完成不需要改 Deployment 镜像也不需要重启 Pod。适合谁看已经在 K8S 里跑 Traefik 2.x、用 cert-manager 管证书、想一次性把 HTTPS 加固做到位的运维和平台同学。如果你还在用 Nginx Ingress思路类似但 CRD 不同本文不展开。需要提前说明一点TLS 1.3 锁死之后极老的客户端比如 Android 6 以下、Windows 7 未打补丁的 IE会握手失败。生产环境要不要这么激进取决于你的用户画像。本文给的是「激进」配置你可以按需把 minVersion 降到 VersionTLS12 作为折中。另外本文所有配置都假设你已经在集群里部署好了 Traefik并且通过 LoadBalancer 暴露了 80 和 443。如果你还没装 Traefik先去官网看安装文档本文不重复安装步骤。2. TaoToken 统一 Key 通道让配置和调用都走一个入口在讲 Traefik 配置之前先说一下本文为什么会提到 TaoToken。做 K8S 加固的时候我经常需要一边改 IngressRoute一边用 curl 验证握手版本还要顺手调一下模型接口确认网关链路没断。如果每个工具都单独配一套 Key管理成本很高。TaoToken 提供的是一个统一的 API Key 通道官网是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 。它的作用是让你用同一个 Key 去访问不同的模型服务省去在多个平台之间切换的麻烦。具体到本文场景你可以这样用需要验证 Traefik 加固后网关是否正常转发可以用 TaoToken 的模型对话接口做一次端到端请求确认 HTTPS 链路没被 TLS 策略误伤。模型对话入口https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewrite如果你在集群里跑 Coding Agent 或者长期编码任务可以用 Coding Plan 统一管理调用额度https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite需要生成或轮换 Key去控制台https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite直接管理 API Keyhttps://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite这里要强调TaoToken 是正常的 API 聚合服务不是任何形式的网络中转工具。本文所有 Traefik 配置和它没有耦合关系TaoToken 只是帮你把验证环节的 Key 管理统一起来。如果你在集群里用 Claude Code 或者 Anthropic 风格的接口做自动化验证可以参考这个入口https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。Claude Code 相关配置看这里https://taotoken.net/claude-code?utm_sourcetaotoken_aicg_blog_endutm_contentclaudecodeutm_campaignrewrite3. 可复制的 Traefik TLS 加固配置骨架下面这套配置我按文件拆开你可以直接放到一个目录里用kubectl apply -f一次性生效。命名空间我统一用kube-system因为 Traefik 通常装在这里。如果你的 Traefik 在别的 namespace把 metadata.namespace 改掉即可。3.1 TLSOption把最低版本锁到 TLS 1.3apiVersion: traefik.containo.us/v1alpha1 kind: TLSOption metadata: name: default namespace: kube-system spec: minVersion: VersionTLS13 cipherSuites: - TLS_AES_128_GCM_SHA256 - TLS_AES_256_GCM_SHA384 - TLS_CHACHA20_POLY1305_SHA256 curvePreferences: - X25519 - CurveP256 sniStrict: true说明几个关键点。minVersion: VersionTLS13表示低于 1.3 的握手直接拒绝。cipherSuites在 TLS 1.3 下其实由协议本身决定这里列出来是给 1.2 兜底用的如果你确定只跑 1.3可以省略。sniStrict: true表示客户端必须带 SNI否则拒绝这能挡掉一部分扫描器。注意TLSOption 的 name 必须是defaultTraefik 才会把它当作全局默认策略。如果你改成别的名字需要在 IngressRoute 里显式引用。3.2 TLSStore指定默认证书apiVersion: traefik.containo.us/v1alpha1 kind: TLSStore metadata: name: default namespace: kube-system spec: defaultCertificate: secretName: example-tls-secret这里的secretName要换成你 cert-manager 生成的证书 Secret 名字。cert-manager 通常会把证书放在和 Certificate 资源同一个 namespace所以 TLSStore 的 namespace 要和 Secret 所在 namespace 一致。如果你的证书在cert-managernamespace就把 TLSStore 也放过去。3.3 MiddlewareHTTP 跳 HTTPS HSTSapiVersion: traefik.containo.us/v1alpha1 kind: Middleware metadata: name: redirect-https namespace: kube-system spec: redirectScheme: scheme: https permanent: true --- apiVersion: traefik.containo.us/v1alpha1 kind: Middleware metadata: name: hsts-header namespace: kube-system spec: headers: customResponseHeaders: Strict-Transport-Security: max-age63072000; includeSubDomains; preload stsSeconds: 63072000 stsIncludeSubdomains: true stsPreload: true这里我用了两种写法customResponseHeaders直接写原始头stsSeconds等字段是 Traefik 内置的 HSTS 支持。两者选一个即可我建议用内置字段因为 Traefik 会帮你处理重复头的问题。max-age63072000是两年includeSubDomains表示子域名也强制 HTTPSpreload是给浏览器预加载列表用的。注意preload一旦生效撤销很麻烦建议先在测试域名上跑一段时间再上生产。3.4 IngressRoute把中间件挂到具体域名apiVersion: traefik.containo.us/v1alpha1 kind: IngressRoute metadata: name: example-app namespace: default spec: entryPoints: - web - websecure routes: - match: Host(example.yourdomain.com) kind: Rule middlewares: - name: redirect-https namespace: kube-system - name: hsts-header namespace: kube-system services: - name: example-service port: 8080 tls: options: name: default namespace: kube-system关键点是tls.options引用了前面定义的 TLSOption这样这个域名才会走 TLS 1.3 强制策略。entryPoints同时监听 web 和 websecure配合 redirect-https 中间件实现 80 到 443 的跳转。3.5 一次性生效把上面四个文件放到同一个目录比如./traefik-hardening然后执行kubectl apply -f ./traefik-hardening如果 Traefik 是通过 Helm 装的CRD 已经存在不需要额外安装。如果提示 CRD 不存在说明你的 Traefik 版本太老需要先升级到 2.4 以上。4. 验证用 curl 确认 HSTS 头和 TLS 握手版本配置生效后不要只看浏览器绿锁要用命令行确认。下面是我常用的两条验证命令。4.1 验证 HSTS 头curl -sI https://example.yourdomain.com | grep -i strict-transport-security期望输出strict-transport-security: max-age63072000; includeSubDomains; preload如果没有任何输出说明 HSTS 中间件没挂上检查 IngressRoute 的 middlewares 列表里有没有hsts-header以及 namespace 是否写对。4.2 验证 TLS 握手版本curl -v --tlsv1.2 --tls-max 1.2 https://example.yourdomain.com 21 | grep -i SSL connection如果配置生效这条命令应该报错提示握手失败因为服务器只接受 TLS 1.3。然后再试curl -v --tlsv1.3 https://example.yourdomain.com 21 | grep -i SSL connection期望输出类似SSL connection using TLSv1.3 / TLS_AES_128_GCM_SHA256如果 1.2 那条命令没有报错说明 TLSOption 没生效检查 IngressRoute 的tls.options是否引用了正确的 name 和 namespace。4.3 验证 HTTP 跳转curl -sI http://example.yourdomain.com | head -n 5期望看到301 Moved Permanently和Location: https://example.yourdomain.com/。如果是 302说明permanent: true没写对。4.4 用 TaoToken 做端到端确认如果你在集群里跑了模型网关可以用 TaoToken 的模型对话接口发一次请求确认 HTTPS 链路没被 TLS 策略误伤。API 入口是 https://taotoken.net/api Key 在控制台生成。这一步不是必须的但能帮你排除「TLS 加固把上游调用也挡了」这种低级问题。5. 本篇常见错排查5.1 TLSOption 不生效TLS 1.2 还能握手最常见的原因是 IngressRoute 里没写tls.options或者写了但 name 不是default。Traefik 只有在 IngressRoute 显式引用 TLSOption 时才会应用全局默认策略需要 name 为default且被引用。另一个可能是 Traefik 版本低于 2.4不支持curvePreferences字段升级即可。5.2 HSTS 头重复出现两次如果你同时用了customResponseHeaders和stsSecondsTraefik 会返回两个 Strict-Transport-Security 头浏览器可能只认第一个。解决办法是二选一我建议只保留stsSeconds那组内置字段。5.3 HTTP 跳转后出现重定向循环通常是因为后端 Service 自己也做了 HTTPS 跳转或者 IngressRoute 同时把 web 和 websecure 都指向了同一个后端而后端又返回 301。检查后端应用有没有强制 HTTPS 的逻辑有的话关掉让 Traefik 统一处理。5.4 证书不匹配浏览器报 NET::ERR_CERT_AUTHORITY_INVALIDTLSStore 的secretName写错了或者 namespace 和 Secret 不一致。用kubectl get secret -n namespace确认 Secret 名字然后检查 TLSStore 的 namespace 是否和 Secret 相同。cert-manager 生成的 Secret 通常叫certificate-name-tls。5.5 应用 Pod 日志里出现大量 TLS 握手失败如果你在集群内部也用 HTTPS 调用这个域名TLS 1.3 强制策略可能导致老版本客户端库握手失败。解决办法是给内部调用单独开一个 IngressRoute不挂 TLSOption或者把内部调用改成 Service 直连不走 Ingress。5.6kubectl apply报 CRD 不存在说明你的 Traefik 安装时没装 CRD或者 CRD 版本太老。用kubectl get crd | grep traefik确认如果没有tlsoptions.traefik.containo.us需要重新安装 Traefik 的 CRD。6. 加固之后Key 管理也别掉链子Traefik 的 TLS 加固做完之后你的 HTTPS 入口基本就锁死了。但别忘了集群里跑的各种 Agent、CI 任务、验证脚本它们的 API Key 如果散落在各个 Secret 和配置文件里管理成本会很高。我自己的做法是把验证环节的 Key 统一走 TaoToken一个 Key 管多个模型服务轮换的时候只改一处。控制台在 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite API Key 管理在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 。如果你在跑长期编码任务Coding Plan 入口是 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 。接入文档在这里https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。Claude Code 相关配置https://taotoken.net/claude-code?utm_sourcetaotoken_aicg_blog_endutm_contentclaudecodeutm_campaignrewrite 。模型对话验证入口https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewrite 。最后提醒一句TLS 1.3 强制 HSTS preload 这套组合上生产之前一定要在测试域名上跑至少一周确认没有老客户端被挡。我踩过的坑是 preload 提交之后才发现有个内部工具用的是老版本 curl结果只能等 max-age 过期。你可以先把 max-age 设成 300 秒做灰度确认没问题再改成 63072000。
