Traefik v3.7.11 发布：Kubernetes CRD 与 Gateway API 关键修复

技术要点

Traefik v3.7.11 版本的核心更新集中在安全修复、功能完善与文档澄清上。本次发布的关键变更点如下：

安全漏洞修复：修复了四个 CVE 漏洞，对应安全 advisories 为 GHSA-5w68-77r2-r64c、GHSA-g55h-rg46-x9c5、GHSA-j994-9gqj-9hwq 和 GHSA-m6wx-622r-48r9。

Bug 修复：

• FastProxy：当使用 FastProxy 时，拒绝来自后端服务的超出范围的状态码（Issue #13635）。
• HTTP/3：将 github.com/quic-go/quic-go 依赖库升级至 v0.61.0 版本（Issue #13688）。
• Kubernetes CRD 提供者：
  • 防止在 Kubernetes CRD 提供者中生成的名称发生冲突（Issue #13656）。
  • 添加一个选项，用于限制默认 TLS 资源的命名空间（Issue #13665）。
  • 将生成的 Kubernetes Service 名称作用域限制在其父资源内（Issue #13668）。
  • 使故障转移生成的服务名称遵循所引用的 Kubernetes Service 名称（Issue #13677）。
  • 为 Kubernetes CRD 提供者添加安全的命名选项以避免冲突（Issue #13689）。
• Kubernetes Gateway API：
  • 在 Gateway API 的 URLRewrite 和 RequestRedirect 中保留编码的路径段（Issue #13641）。
  • 修复 Gateway API 的路由器规则（Issue #13645）。
• Kubernetes Ingress-Nginx 提供者：
  • 对于共享主机的多个 Ingress，去重客户端认证 TLS 选项（Issue #13638）。
  • 将认证、自定义头部、自定义错误和 SSL 重定向应用到 Ingress 默认后端（Issue #13575）。
  • 在 Ingress-Nginx 提供者中，尊重 asDefault 和 exclude internal entrypoints 选项以进行默认选择（Issue #13629）。
• Kubernetes Ingress：对 Kubernetes Ingress 服务中间件强制执行 crossProviderNamespace（Issue #13670）。
• 中间件与认证：将 github.com/containous/go-http-auth 依赖库升级至 b975dcaa8c48 版本（Issue #13636）。
• TLS：添加一个选项以禁用回退到默认 TLS 选项的行为（Issue #13639）。

文档更新：

• 澄清访问日志中 OriginStatus 和 DownstreamStatus 的含义。
• 修复 API/仪表板参考文档中的重复单词。
• 从 docker.sock 移除 :ro 标记。
• 澄清 v3.7.10 的 Gateway API 迁移指南。
• 文档说明 Kubernetes Gateway 提供者对 Experimental Channel CRDs 的要求。
• 更新 Ingress-Nginx 提供者支持的 server snippet 指令文档。
• 在 ipAllowList 中间件配置示例中添加 rejectStatusCode。
• 将 errors 中间件的 service 选项标记为必需。
• 文档说明 TLS 选项的冲突解决方式。
• 澄清路由器 TLS 配置会替换入口点 TLS 配置。
• 文档说明 Redis keyspace notifications 的要求。
• 恢复 systemd socket 激活的文档。
• 更新从 v3.6 版本开始的支持策略。

原理与背景

本次发布中的多项修复旨在提升 Traefik 在 Kubernetes 环境下的稳定性和可靠性，特别是针对 CRD 提供者和 Gateway API 提供者。

Kubernetes CRD 提供者是 Traefik 用于动态配置的核心组件之一。之前版本中，该提供者生成的资源名称（如 Service、TLS 资源等）可能存在冲突风险，这可能导致配置错误或资源管理混乱。v3.7.11 通过引入命名空间限制、作用域限制和安全的命名选项，从机制上避免了这些冲突，确保了在复杂 Kubernetes 集群中 Traefik 配置的唯一性和可预测性。

Gateway API 是 Kubernetes 新一代的流量管理标准。在 URLRewrite 和 RequestRedirect 操作中保留编码的路径段，是为了确保经过 Traefik 处理后的请求路径与原始意图保持一致，避免因路径解码/编码问题导致路由错误。修复路由器规则则直接解决了 Gateway API 配置可能无法正确生效的问题。

FastProxy 组件拒绝后端返回的超出范围的状态码，是一种防御性编程实践。它确保了 Traefik 作为反向代理时，不会传递无效或异常的状态码给客户端，维护了 HTTP 协议规范的严谨性。

TLS 配置选项中新增的禁用回退默认选项的功能，为高级用户提供了更精细的控制能力，允许他们明确指定 TLS 行为，避免因隐式回退导致的意外配置。

落地建议

对于使用 Traefik 的用户，尤其是 Kubernetes 环境下的用户，建议采取以下措施：

1. 及时升级：评估本次更新中的安全漏洞修复和 bug 修复对你的影响。如果使用了受影响的组件（如 FastProxy、Kubernetes CRD 提供者、Gateway API 提供者等），建议尽快升级到 v3.7.11 或更高版本。
2. 阅读迁移指南：升级前务必阅读官方提供的迁移指南，特别是涉及 Gateway API 和 TLS 配置变更的部分，确保配置平滑过渡。
3. 检查 Kubernetes 配置：如果你使用 Kubernetes CRD 提供者，检查你的配置，考虑利用新增的命名空间限制和安全命名选项来增强配置的健壮性，避免潜在的名称冲突。
4. 验证 Gateway API 行为：升级后，重点测试使用 URLRewrite 和 RequestRedirect 的 Gateway API 路由，确保路径编码行为符合预期。
5. 审查 TLS 配置：如果你依赖 TLS 配置的默认回退行为，请注意新增的禁用回退选项。根据你的安全策略，决定是否需要明确配置 TLS 选项。
6. 关注文档更新：查阅更新后的文档，特别是关于访问日志、中间件配置和 TLS 冲突解决的部分，确保你的配置理解正确。
7. 依赖项管理：注意内部依赖库的升级，虽然对用户透明，但了解这些变化有助于排查潜在问题。