菜单
把 VPS 上既有的反向代理（systemd nginx/apache/caddy 等，正佔用 80/443 服務正式網站）安全遷移到 k3s 的 Traefik——後端用 external Service+Endpoints 指向原本的容器/程序、沿用既有 TLS 憑證、用 per-router middleware 做 HTTP→HTTPS 轉址，驗證無誤後才停用舊 proxy，不中斷服務。當 k3s 要接管已被占用的 80/443、或要把既有 reverse proxy 收進叢集時使用。這是條件式步驟：只有偵測到既有 80/443 服務才需要。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
| name | k3s-migrate-proxy |
| description | 把 VPS 上既有的反向代理（systemd nginx/apache/caddy 等，正佔用 80/443 服務正式網站）安全遷移到 k3s 的 Traefik——後端用 external Service+Endpoints 指向原本的容器/程序、沿用既有 TLS 憑證、用 per-router middleware 做 HTTP→HTTPS 轉址，驗證無誤後才停用舊 proxy，不中斷服務。當 k3s 要接管已被占用的 80/443、或要把既有 reverse proxy 收進叢集時使用。這是條件式步驟：只有偵測到既有 80/443 服務才需要。 |
目標：Traefik 接管 80/443，但既有正式站不斷線。既有後端（常是 docker 容器）保持原樣，只把「路由 + TLS 終結」從舊 proxy 搬到 Traefik。
讀設定取得每個站的 server_name、upstream（host:port）、所用憑證：
ssh "$SSH_TARGET" 'sudo nginx -T 2>/dev/null | grep -E "server_name|proxy_pass|ssl_certificate|listen"'
逐一確認每個後端實際在不在跑（ss -tlnp / docker ps）。設定還在但服務早掛是常見的——別把別人原本就壞的站算成自己造成的。
ssh "$SSH_TARGET" '
kubectl create namespace legacy --dry-run=client -o yaml | kubectl apply -f -
sudo install -m644 <crt路徑> /tmp/c.crt; sudo install -m644 <key路徑> /tmp/c.key
kubectl create secret tls wildcard-cert -n legacy --cert=/tmp/c.crt --key=/tmp/c.key --dry-run=client -o yaml | kubectl apply -f -
sudo rm -f /tmp/c.crt /tmp/c.key
'
萬用憑證
*.example.com只蓋一層（蓋a.example.com，不蓋a.b.example.com）。多層名需另簽。
重點：
0.0.0.0（非 127.0.0.1），pod 才連得到 node IP:port。apiVersion: v1
kind: Service
metadata: {name: <APP>, namespace: legacy}
spec: {ports: [{port: <PORT>, targetPort: <PORT>}]}
---
apiVersion: v1
kind: Endpoints
metadata: {name: <APP>, namespace: legacy}
subsets: [{addresses: [{ip: <NODE_IP>}], ports: [{port: <PORT>}]}]
---
apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata: {name: redirect-https, namespace: legacy}
spec: {redirectScheme: {scheme: https, permanent: true}}
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: <APP>
namespace: legacy
annotations: {traefik.ingress.kubernetes.io/router.entrypoints: websecure}
spec:
ingressClassName: traefik
tls: [{hosts: [<HOST>], secretName: wildcard-cert}]
rules: [{host: <HOST>, http: {paths: [{path: /, pathType: Prefix, backend: {service: {name: <APP>, port: {number: <PORT>}}}}]}}]
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: <APP>-redirect
namespace: legacy
annotations:
traefik.ingress.kubernetes.io/router.entrypoints: web
traefik.ingress.kubernetes.io/router.middlewares: legacy-redirect-https@kubernetescrd
spec:
ingressClassName: traefik
rules: [{host: <HOST>, http: {paths: [{path: /, pathType: Prefix, backend: {service: {name: <APP>, port: {number: <PORT>}}}}]}}]
# 驗證 Traefik 已正確路由＋用對憑證
curl -sk -o /dev/null -w "%{http_code}\n" https://<HOST>/
echo | openssl s_client -connect <HOST>:443 -servername <HOST> 2>/dev/null | openssl x509 -noout -subject
# 確認無誤後停用舊 proxy（設定保留可回滾）
ssh "$SSH_TARGET" 'sudo systemctl stop nginx && sudo systemctl disable nginx'
inactive + disabled，設定檔保留。處理 k3s 上的 DNS 與 Let's Encrypt SSL——診斷 DNS 委派（dig +trace 從 parent 找真權威、用 MX 當指紋比對 面板 vs 對外權威、SOA serial 驗有沒有真的發布）、讓子網域指向叢集、用 cert-manager 自動簽憑證；並提供上線前 用 --resolve + 真實 ACME challenge token 預驗整條鏈路的方法。當子網域或 HTTPS 憑證沒生效要排查、DNS「設了卻 不通」、或上線前要先確認機器端 100% 就緒時使用。
在 k3s 上用 Helm 部署 domain-manager（github.com/timcsy/domain-manager）與其相依的 cert-manager， 設定 Traefik ingress class 與 Let's Encrypt ClusterIssuer，並掛上 domain-manager UI 的 ingress。 當要部署 domain-manager 來用 Web UI/API/MCP 管理子網域→service 對應與自動 SSL 時使用。內含 image tag 與 admin 密碼的已知 chart 陷阱與規避方式。
在 VPS 上安裝單節點 k3s（保留內建 Traefik 與 ServiceLB），設定免 sudo 的 kubeconfig，並安裝 Helm 3。 當要從零建立 k3s 叢集、或為部署應用準備 Kubernetes 環境時使用。執行前建議先跑 k3s-preflight 確認 80/443 的處理方式；若 80/443 已被既有服務占用，安裝會即時搶占 port，需搭配 k3s-migrate-proxy。
產生可攜的 k3s kubeconfig，讓本機/CI 從任何地方操作叢集——幫 k3s API 憑證加 tls-san、把 server 從 127.0.0.1 改成 domain、確認 6443 對外可達、把 context/cluster/user 改名避免與其他 kubeconfig 撞名， 並用 .gitignore 保護內含的 cluster-admin 憑證。當要遠端 kubectl/helm 操作 k3s、或把 kubeconfig 交給 其他機器使用時用。
部署 k3s 前偵測 VPS 環境是否就緒——OS/arch、使用者與 sudo、公網 IP、資源、既有 k8s，以及最關鍵的 80/443 佔用者與既有正式服務。當要在一台 VPS 上裝 k3s、或評估某主機現況、或排查「裝 k3s 會不會打斷既有服務」時使用。 輸出一份環境摘要與建議的處理路線，供後續 k3s-install / k3s-migrate-proxy 參考。
端到端在一台 VPS 上部署 k3s + domain-manager + DNS/SSL 的總流程。依序串起六個子 skill：k3s-preflight → k3s-install →（條件式）k3s-migrate-proxy → k3s-domain-manager → k3s-dns-ssl → k3s-kubeconfig，並在每個 關卡驗證、遇到既有正式服務時停下確認。當使用者要「完整一次跑完」整套 VPS 上的 k3s 部署與 DNS/SSL 設定時使用； 若只想做其中一段，直接呼叫對應的子 skill 即可。