在 k8s 里用 traefik-ingress 给 gRPC 做服务发现和负载均衡最容易卡住的地方不是 traefik 本身装不上而是端口、h2c、Ingress 路径和 Service 端口四者对不上Pod 明明 RunningBloomRPC 一发请求就Unavailable或者干脆连不上。这篇按原文的 traefik-rbac / traefik-config / traefik-deploy / deployment / k8sgrpcdemo_ingress 这条链路把排查顺序理一遍并说明怎么让 Codex 走 TaoToken官网 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 来帮你逐项核对 YAML 和 Program.cs而不是靠人肉翻文件。一、原问题与场景gRPC 在 k8s 里负载均衡不通到底卡在哪原文的场景很典型gRPC 一般是内部服务调用在 k8s 集群里做服务发现和负载均衡常见三种方式——直接 Service NodePort占宿主机端口服务一多端口就乱、nginx-ingress要配证书基本只走 https、traefik-ingress推荐生产已在用。本篇走的是第三种。部署顺序是先导入traefik-rbac.yamlServiceAccount ClusterRole ClusterRoleBinding、traefik-config.yamlConfigMap入口web: :18080、websecure: :18443、dashboard:28080开启 kubernetesIngress provider、traefik-deploy.yamlDaemonSethostNetworkhostPort 18080/18443/28080。装完访问http://任意workerIP:28080/能看到 dashboard。然后给k8sgrpcdemo的 Service 加注解annotations: traefik.ingress.kubernetes.io/service.serversscheme: h2cService 端口写成port: 18080、targetPort: 8080、protocol: TCP、name: grpcDeployment 三个副本容器暴露 8080 跑 gRPC、80 跑健康检查。Ingress 里path: /K8sGrpcDemoProto指向servicePort: 18080hosts 把www.k8sgrpcdemo.cn指到某台 worker最后用 BloomRPC 测。痛点就在这四组数字和字符串上serversscheme: h2c漏了、18080 和 8080 映射写反、Ingress path 和 proto 包名不一致、Service 的name: grpc没对上任何一个都会让负载均衡“看起来配了但就是不通”。原文的排查方式基本是翻 YAML 对照效率很低。二、TaoToken 前置先拿 Key 和 Base URL再让 Codex 帮你核对在准备让 Codex 帮你对照这些 YAML 和Program.cs之前先打开 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 创建 Key。Codex 的模型通道 Base URL 填https://taotoken.net/api——注意不要写成官网地址也不要加/v1或 UTM 参数。需要说清楚边界TaoToken 只提供 Key 和 Base URL不替你做服务发现或负载均衡。实际的kubectl apply、改 hosts、BloomRPC 发请求仍然由你本地执行。Codex 在这里的角色是“帮你逐项核对配置”把 traefik / deployment / ingress 片段贴给它让它检查serversscheme: h2c有没有、18080 与 8080 的映射对不对、/K8sGrpcDemoProto路径和 BloomRPC 现象是否一致然后你再本地验证。如果你还没配 Codex 的模型通道可以先到 API Keys 页面https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 生成 Key接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。长期做编码和 Agent 调试的可以看 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。三、可复制配置Codex 侧 traefik / deployment / ingress 关键片段3.1 Codex 侧配置Codex 走 TaoToken 的模型通道核心就是 Base URL 和 Key# config.toml model MODEL_ID model_provider taotoken [model_providers.taotoken] name TaoToken base_url https://taotoken.net/api env_key TAOTOKEN_API_KEY环境变量里放export TAOTOKEN_API_KEYYOUR_API_KEY如果你用的是 Claude Code 形态的 CLI也可以走npm i -g taotoken/taotoken taotoken cc -k YOUR_API_KEY -u https://taotoken.net/api -m MODEL_ID配通之后Codex 就能读你贴进去的 YAML 片段做核对。3.2 traefik 侧关键点traefik-config.yaml里入口是web: :18080traefik-deploy.yaml里 DaemonSet 用 hostNetwork hostPort 18080所以集群外访问 traefik 的入口就是 workerIP:18080。dashboard 在 28080用来确认 Ingress 有没有被 traefik 识别。3.3 Service 注解与端口映射apiVersion: v1 kind: Service metadata: name: k8sgrpcdemo namespace: default labels: app: k8sgrpcdemo service: k8sgrpcdemo annotations: traefik.ingress.kubernetes.io/service.serversscheme: h2c spec: ports: - port: 80 name: http - port: 18080 targetPort: 8080 protocol: TCP name: grpc selector: app: k8sgrpcdemo这里serversscheme: h2c是 gRPC 明文 HTTP/2 的关键漏了 traefik 会按 http/1.1 去连后端直接失败。port: 18080是 Service 暴露给 Ingress 的端口targetPort: 8080才是容器里 gRPC 真正监听的端口两者不能写反。3.4 Ingress 路径apiVersion: extensions/v1beta1 kind: Ingress metadata: name: k8sgrpcdemo namespace: default spec: rules: - host: www.k8sgrpcdemo.cn http: paths: - path: / backend: serviceName: k8sgrpcdemo servicePort: 80 - path: /K8sGrpcDemoProto backend: serviceName: k8sgrpcdemo servicePort: 18080/K8sGrpcDemoProto对应 proto 里的包名BloomRPC 里填的地址要能命中这条 path否则请求会落到/那条 http 后端上。3.5 Program.cs 双端口应用要同时监听 80健康检查和 8080gRPC原文提到健康检查走 http 80、gRPC 对外 8080所以Program.cs里要显式配置两个监听地址否则 readinessProbe 会一直失败Pod 起不来负载均衡自然不通。四、验证请求与成功结果配置贴给 Codex 核对后本地按顺序验证kubectl get pods -n default看k8sgrpcdemo三个副本是否 RunningreadinessProbe 是否通过。kubectl get svc k8sgrpcdemo确认端口是 80 和 18080。访问http://workerIP:28080/看 traefik dashboardIngress 里应出现k8sgrpcdemo的两条路由。hosts 文件C:\Windows\System32\drivers\etc\hosts加192.168.21.233 www.k8sgrpcdemo.cn指向任意一台 worker因为三台都跑了 traefik。BloomRPC 里导入 proto地址填www.k8sgrpcdemo.cn:18080方法选GetLocalIP发请求。成功结果是BloomRPC 返回GetLocalIPResponselocalIP字段是某个 Pod 的 IP多请求几次返回的 IP 会在三个副本之间变化说明 traefik 的负载均衡生效了。如果每次都是同一个 IP检查 Service 的 selector 是否匹配到三个 Pod。五、本篇常见错排查报错一BloomRPCUnavailable/ 连接被拒。先看 Service 有没有serversscheme: h2c再看port: 18080和targetPort: 8080是否写反。traefik 到后端走的是 h2c缺注解会降级成 http/1.1。报错二请求落到错误后端。Ingress 里/K8sGrpcDemoProto的servicePort必须是 18080不是 80。写成 80 会打到 http 健康检查端口上。报错三401 / 多了 /v1。这类多半出在 Codex 侧 Base URL 写错——填成官网地址、加了/v1、或者带了 UTM 参数。Base URL 只写https://taotoken.net/api。如果 Codex 报 401先到 API Keys 页面确认 Key 有效再核对环境变量名是否和 config.toml 里的env_key一致。报错四Pod 一直 NotReady。readinessProbe 走/health/status的 80 端口如果Program.cs只监听了 8080探针失败Pod 不会进 Endpoints负载均衡就没有后端可用。报错五dashboard 里看不到 Ingress。检查 traefik 的providers.kubernetesIngress是否启用以及 Ingress 的apiVersion和集群版本是否匹配extensions/v1beta1在较新集群里可能不被识别。排查时把出错的 YAML 片段和 BloomRPC 的报错文本一起贴给 Codex让它按“注解 → 端口映射 → path → 探针”的顺序逐项核对比自己在多个文件间来回翻要快。六、语义一致 CTA这篇的核心是排障traefik-ingress 下 gRPC 负载均衡不通多半是serversscheme: h2c、18080/8080 映射、/K8sGrpcDemoProto路径、Service 端口这几处对不上。让 Codex 走 TaoToken 的模型通道来帮你核对配置前提是先把 Key 和 Base URL 配通。生成 Key、核对接入配置API Keyshttps://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 接入文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 验证模型通道是否配通模型对话https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 长期做编码和 Agent 调试Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 配通之后把 traefik / deployment / ingress 片段贴给 Codex让它逐项核对再用 BloomRPC 本地验证这条排查链路就能跑顺。