Istio非侵入的流量治理

Posted on Edited on In

Istio流量治理原理

istio流量治理主要有以下流程

控制面：

  1. 管理员通过命令行或者api创建流量规则
  2. Pilot将流量规则转换为Envoy的标准格式
  3. Pilot将规则下发给Envoy

数据面：

  1. Envoy拦截Pod上本地容器Inbound和Outbound的流量
  2. 在流量经过Envoy时，执行对应的流量规则，进行流量治理

负载均衡

主要用户服务间访问。通过它可以在多个服务实例找到一个合适的后端把请求转发过去。

Pilot维护服务发现数据，下发给Envoy，Envoy根据负载均衡策略选择一个实例转发请求。

服务熔断

istio的熔断控制无需侵入代码，有别与hystrix。

常见的熔断器状态流转

序号 初始状态 条件 迁移状态
1 熔断关闭 请求成功 熔断关闭
2 熔断关闭 请求失败，调用失败次数自增，不超过阀值 熔断关闭
3 熔断关闭 请求失败，调用失败次数自增，超过阀值 熔断开启
4 熔断开启 熔断器维护计时器，计时未到 熔断开启
5 熔断开启 熔断器维护计时器，计时到了 熔断半开启
6 熔断半开启 访问成功 熔断关闭
7 熔断半开启 访问失败 熔断开启

故障注入

有些故障是不会经常触发的，以前模拟故障通常需要修改代码来模拟。而Istio也提供了这个能力。

灰度发布

  1. 蓝绿发布
    类似热发布。先部署新版本，等新版可用后，全流量切换过去。
  2. AB测试
    部署对等的两个版本A和B，分流一部分去a，一部分去b，然后根据运营收集数据，根据反馈选择使用哪个版本。
  3. 金丝雀发布/灰度发布

你叫像AB测试发布，先让小部分用户尝试新版本。观察一段时间后决定使用哪个版本。

常见的灰度发布技术

  1. 基于负载均衡的会的发布
  2. k8s 基于不同版本pod数量来控制流量比例

Istio灰度发布支持七层方向代理，所以可以支持非常丰富的控制策略，根据内容，请求的header作为特征等等。

服务访问入口

  1. k8s服务的访问入口
  • Loadbalancer 类型的Service 根据端口直接转发给指定的服务
  • Ingress访问入口 根据七层协议转发
  1. Istio服务访问入口

通过Gateway访问网格内的服务，Gateway和其它网格内的Sidecar一样，也是个Envoy。从控制面接收配置，并执行配置的规则。Gateway一般发布为Loadbalancer类型的service。

外部的接入服务治理

Istio通过在Pilot中创建ServiceEntry，配置后端数据库服务访问信息，Istio就会维护这个服务记录，可以对该服务进行配置规则治理。

访问网格外的服务，除了可以通过网格内的sidecar进行治理，也可以通过顶一个一个Egress Gateway，讲所有出口流量转发到Egress Gateway上治理。

Istio路由规则配置：　VirtualService

属于Istio流量治理核心配置

路由规则配置示例

Istio配置都是通过k8s的CRD方式表达的。

https://istio.io/docs/reference/config/networking/virtual-service/

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: reviews-route
spec:
  hosts:
  - reviews.prod.svc.cluster.local
  http:
  - name: "reviews-v2-routes"
    match:
    - uri:
        prefix: "/wpcatalog"
    - uri:
        prefix: "/consumercatalog"
    rewrite:
      uri: "/newcatalog"
    route:
    - destination:
        host: reviews.prod.svc.cluster.local
        subset: v2
  - name: "reviews-v1-route"
    route:
    - destination:
        host: reviews.prod.svc.cluster.local
        subset: v1

路由规则定义

VirtualService定义了目标服务的一组流量规则，表现形式是一个虚拟服务，讲满足条件的流量转发到对应的后端服务，这个可以后端可以是一个服务，也可以是DestinationRule中定义的服务的子集。

VirtualService是在Istio V1alpha3的API中心如的新路由定义。

VirtualService一些术语

  • Service 服务
  • Service Version (AKA subnets) 服务版本
  • Source 发起调用的服务
  • Host 调用目标时使用的地址
  1. hosts是必选的一个重要字段。用于匹配访问地址。可以是一个DNS名称或者IP，DNS名称可以使用通配符前缀，也可以写短域名。如果不用全限定的FQDN域名，则运行平台会把短域名解析成FQDN。

推荐写全限定的FQDN，格式..svc.cluster.local
2. gateways 表示应用这些流量规则的Gateway。VirtualService描述的规则可以用作Sidecar和入口处的Gateway。
如果只是网格内访问，Gateway可以省略，如果是网格外访问，就需要用到Gateway字段。如果内外都要，则还需增加保留字mesh
3. http 是与HTTPRoute类型的路由集合，处理http流量，是istio最丰富的流量规则
4. tls 是一个TLSRoute类型的集合，用于处理非终结的TLS和HTTPS流量
5. tcp 是一个TCLRoute类型的集合，用于处理TCP流量，应用于所有非HTTP和TLS流量。没有对https和tls定义对应的TLSRoute，则也会当做TCP流量处理。
VirtualService的路由规则使用上是一个有序的数组，在匹配到第一个满足的规则时就跳出，不会检查后面的规则。
6. exportTo 是Istio1.1新增的字段。控制VirtualService跨命名空间的可见性。控制它是否能被其它命名空间下的sidecar和Gateway发现。默认全局可见。. 表示当前命名空间可见 * 表示所有命名空间可见。

HTTP路由 (HTTPRoute)

用于处理HTTP流量

对应的协议为 HTTP、HTTP2、GRPC

  • 服务端口名为 http-、http2-、grpc-
  • Gateway端口协议满足对应的协议，或者Gateway是终结TLS，就是外部是https，内部还是http
  • ServiceEntry满足对应协议

HTTPRoute规则解析

满足HTTPMatchRequest条件的流量都睡被路由到HTTPRouteDestination。

执行重定向（HTTPRedirect）、重写（HTTPRewrite）、重试（HTTPRetry）、故障注入（HTTPFaultInjection）、跨站（CorsPolicy）策略等。

还可以做一些写操作修改请求本身。

HTTP匹配规则（HTTPMatchRequest）

HTTPRoute最重要的字段是match，是HTTPMatchRequest类型的数组。

一个URI完整的格式为 URI=scheme://Authority/path?query
Authority=userinfo@host:port

HTTPMatchRequest支持将uri、scheme、method、authority、port作为条件来匹配。

  1. uri、scheme、method、authority都是StringMatch类型，在匹配时都支持exact、prefix、regex三种漠视的匹配。分别为精确匹配、前缀匹配、正则匹配

  2. headers： headers是一个map类型，但是他的key是字符串类型，value也是StringMatch类型。

  3. port： 请求的服务端口号。微服务中推荐只开放一个端口，这种情况可以忽略不写。

  4. sourceLabels： map类型的键值对。请求来源的负载匹配标签。可以通过这个来区别不同的服务组。

    1
    2
    3
    4
    5
    http：
      - match:
        - sourceLabels:
          app: frontend
          version: v2

  5. gateways: 表示应用规则的Gateway，与VirtualService的Gateways定义一样，只是一个更细的match。

HTTPMatchRequest中，元素之间关系一般是“或”逻辑，属性之间关系一般是“或”逻辑

HTTP路由目标(HTTPRouteDestination)

HTTPRoute上的Route字段是一个HTTPRouteDestination类型的数组，表示满足条件的流量目标。可以定义多个Route，通过权重（weight）来实现灰度发布。

HTTPRouteDestination主要有三个字段： destination（请求目标）、weight（权重）、headers（http头操作）

destination和weight是必选字段

  1. destination
    destination有三个属性描述： host、subset、port
    host： 必选字段，表示在istio中注册的服务名。建议写全限定FQDN。如 ..svc.cluster.local
    subset： 子集。通常用来区别不同的版本。比如同个服务，不同的subset来实现灰度发布。
    port： 端口，一个端口通常可以缺省不写
  2. weight
    表示流量的分配比例。一个route下多个destination的weight总和要求是100
    如果只有一个可以不写，默认是100
  3. headers

HTTPRoute比TCPRoute多出一个headers字段。

headers有request和response两个字段。

  • request 表示在发送给目标地址时修改request header
  • response 表示在接收目标的response时修改response header

字段对应的类型都是HeaderOperation类型，可以使用set、add、remove字段来定义对Header的操作。

HTTP重定向(HTTPRedirect)

可以通过它发送一个301重定向给服务调用方。

HTTPRedirect有两个字段：

  • uri 表示替换URL中path的部分
  • authority 表示替换URL中authority的部分

HTTP重写(HTTPRewrite)

配置和上面的HTTPRedirect配置类似。不同的是，HTTPRedirect只能替换全部path。HTTPRewrite可以只替换HTTPMatchRequest匹配到的部分。比如前缀匹配，只会重写前缀部分。

HTTP重试(HTTPRetry)

定义请求失败时候的重试策略。包括重试次数、超时、重试条件等

  1. attempts 必选字段，定义重试的次数
  2. perTryTimeout 每次重试超时的时间，单位可以是ms、s、m、h 毫秒到小时
  3. retryOn 重试条件，可以是多个条件。取值包括以下几种
  • 5xx 5xx类异常
  • gateway-error 类似5xx，但是只作用502,503,504网关类应代码
  • connect-failure 连接上游服务失败时
  • retriable-4xx 上游返回可重试的4xx应答码时重试
  • refused-stream 上游返回REFUSED_STREAM
  • cancelled 在gRPC中header状态是cancelled时
  • deadline-exceeded 在gRPC中状态码是deadline-exceeded时
  • internal 在gRPC中状态码是internal时
  • resource-exhausted 在gRPC中状态码是resource-exhausted时重试 资源用尽
  • unavailable 在gRPC中状态码是unavailable时

HTTP流量镜像(Mirror)

指在给目标地址转发流量的同时给另一个目标地址也镜像一份。

数据代理只需关注原来的转发就可以，不用等待镜像地址返回

HTTP故障注入(HTTPFaultInjection)

HTTPFaultInjection有两个字段 Delay和Abort

  1. Delay 延迟故障注入
  • fixedDelay 必选，表示延迟时间，要求大于1毫秒，单位可以是ms、s、m、h 毫秒到小时
  • percentage 故障百分比，如1.5表示1.5%的请求产生延迟故障
  1. 请求中止故障
  • httpStatus 必选 中止的状态码
  • percentage 故障百分比。

例子：
模拟1.5%的请求出现500的故障

1
2
3
4
5
6
7
8
9
route:
  - destination:
    host: forecast
    subnet: v1
  fault:
    abort:
      percentage:
        value: 1.5
      httpStatus: 500

HTTP跨资源共享(CorsPolicy)

可以对满足条件的请求配置跨资源共享（CORS）
字段如下：

字段 作用 对应的header
allowOrigin 允许的来源列表 Access-Control-Allow-Origin
allowMethods 允许的方法列表 Access-Control-Allow-Methods
allowHeaders 允许的头部列表 Access-Control-Allow-Headers
exposeHeaders 浏览器允许访问的header白名单 Access-Control-Expose-Headers
maxAge 请求缓存时间 Access-Control-Max-Age
allowCredentials 允许服务调用方使用凭据发起请求 Access-Control-Allow-Credentials

TLS路由(TLSRoute)

处理非终结的TLS和HTTPS流量。使用SNI（server name indecation） 客户端在和TLS握手阶段建立的连接使用的服务hostname做路由选择。

使用场景

  • 服务端口协议是HTTPS和TLS，就是端口名包含 https-、tls-
  • Gateway的端口是非终结的HTTPS和TLS
  • ServiceEntry的端口是HTTPS和TLS

TLSRoute配置示例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: bookinfo-sni
spec:
  hosts:
  - "*.bookinfo.com"
  gateways:
  - mygateway
  tls:
  - match:
    - port: 443
      sniHosts:
      - login.bookinfo.com
    route:
    - destination:
        host: login.prod.svc.cluster.local
  - match:
    - port: 443
      sniHosts:
      - reviews.bookinfo.com
    route:
    - destination:
        host: reviews.prod.svc.cluster.loca

TLSRoute规则解析

满足匹配规则的转发到对应后端

匹配条件是 TLSMatchAttributes
路由规则是 RouteDestination

TLS匹配规则(TLSMatchAttributes)

TLSRoute中match字段是TLSMatchAttributes类型是一个数组

https://istio.io/docs/reference/config/networking/virtual-service/#TLSMatchAttributes

四层路由目标(RouteDestination)

TLSRoute通过RouteDestination来面熟转啊的目的地址，是一个四层路由转发地址。包含两个必选属性destination和weight

TCP路由(TCPRoute)

所有不满足HTTP和TLS条件的流量都会应用TCPRoute

https://istio.io/docs/reference/config/networking/virtual-service/#TCPRoute

TCPRoute配置示例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: bookinfo-Mongo
spec:
  hosts:
  - mongo.prod.svc.cluster.local
  tcp:
  - match:
    - port: 27017
    route:
    - destination:
        host: mongo.backup.svc.cluster.local
        port:
          number: 5555

Istio目标规则配置：DestinationRule

VirtualService中目标对象Destination中表示service子集的subset字段就是通过DestinationRule定义的。

DestinationRule配置示例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: bookinfo-ratings
spec:
  host: ratings.prod.svc.cluster.local
  trafficPolicy:
    loadBalancer:
      simple: LEAST_CONN
  subsets:
  - name: testversionv3
    labels:
      version: v3
    trafficPolicy:
      loadBalancer:
        simple: ROUND_ROBIN
  - name: testversionv4
    labels:
      version: v4
    trafficPolicy:
      loadBalancer:
        simple: RANDOM

DestinationRule规则定义

DestinationRule经常和VirtualService结合使用。VirtualService用到的子集subset在DestinationRule都有对应的定义。

属性 描述
host 必选字段，表示规则的使用对象。如果取短域名则会根据规则所在的命名空间进行解析。建议FQDN
trafficPolicy 规则内容定义。包括负载均衡、连接池策略、异常点检查等
subset 定义服务的子集，通常用来区别不同版本。
exportTo Istio1.1后添加的重要字段。表示跨命名空间可见性。默认全局可见。只支持“.”和“*”两种配置

流量策略 TrafficPolicy

流量策略包含四个重要的配置

属性 描述
loadBalancer LoadBalancerSettings类型，描述服务的负载均衡算法。
connectionPool ConnectionPoolSettings 类型，描述连接池配置。
outlierDetection OutlierDetection ，描述服务的异常点检查。
tls TLSSettings 类型，描述服务的TLS连接设置。
负载均衡设置 LoadBalancerSettings
字段 描述
simple 负载均衡算法
consistentHash 一致性哈希，一种高级负载均衡策略 只对HTTP有效
simple字段
字段值 描述
ROUND_ROBIN 负载均衡算法
LEAST_CONN 最少连接算法
RANDOM 随机算法
PASSTHROUGH 直接转发
consistentHash字段
字段值 描述
httpHeaderName 计算Header的哈希
httpCookie 计算cookie的哈希
useSourceIp 基于源IP计算哈希
minimumRingSize 哈希环上的虚拟节点最小值，节点越多越精细。如果实例少于虚拟节点数，这每个后端都会有一个虚拟节点。
连接池设置 ConnectionPoolSettings

可以通过连接池管理，配置阀值来防止一个服务失败级联影响到整个应用。

连接池管理在协议上分为TCP流量和HTTP流量治理。

TCP连接池配置 TCPSettings
字段 描述
maxConnections 表示上游服务所有实例建立的最大连接数，默认为1024.对于HTTP只适用1.1，HTTP对每个主机使用单连接
connectionTimeout TCP连接超时，可以改善服务相应过慢导致整个链路变慢的情况。
tcpKeepalive istio新增的配置。定时发送keepalive探测报，长度为0.

tcpKeepablve 三个字段

  • probes 表示有多少次探测无响应就断定连接断开 linux缺省数值是9
  • time 表示发送探测前空闲了多长时间 linux中缺省是2小时
  • interval 探测间隔 Linux中缺省是75秒
HTTP连接池配置 HTTPSettings

对于七层协议，可以通过对应的连接池进行更细致的配置。

因书的描述的默认值和官网给的相差过大，直接使用官网的数据

https://istio.io/docs/reference/config/networking/destination-rule/#ConnectionPoolSettings-HTTPSettings

异常实例检测设置 OutlierDetection

Istio的熔断机制。定期考察服务实例的工作情况，如果连续出现访问异常，就标记并进行隔离。

字段 描述
consecutiveErrors 实例被驱逐前的连续错误次数，默认是5.HTTP返回5xx被认为异常，TCP超时和连接出错被认为异常
interval 驱逐的时间间隔，默认10s，要求大于1ms，可以是ms、s、m、h
baseEjectionTime 最小驱逐时间，默认30s。可选单位如上
maxEjectionPercent 均衡池中可以被驱逐的故障实例最大比例。默认是10%. 避免驱逐太多服务能力下降。
minHealthPercent 最小健康比例。默认50%.健康比例大于这个值时，异常检查打开。反之关闭，所有实例接收请求。

https://istio.io/docs/reference/config/networking/destination-rule/#OutlierDetection

端口流量策略设置 PortTrafficPolicy

将前面四种策略应用到端口上。

和TrafficPolicy没有很大差别

https://istio.io/docs/reference/config/networking/destination-rule/#TrafficPolicy-PortTrafficPolicy

服务子集 subset

通常用来定义版本。VirtualService可以给版本配置流量规则。将流量导入到subset的后端实例上。

subset三个重要属性

字段 描述
name 必选字段，VirtualService用的就是这名字
labels subnet的标签，通常识别服务版本的Version标签
trafficPolicy 应用到这个subset的流量策略
maxEjectionPercent 均衡池中可以被驱逐的故障实例

DestinationRule的典型应用

主要有以下几种

定义subset

使用DestinationRule定义subset来为某个服务定义多个服务版本。可以配合VirtualService流量策略实现各种发布场景，比如蓝绿、灰度、金丝雀之类的。

定义服务版本v1，v2

1
2
3
4
5
6
7
8
9
10
11
12
13
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: reviews-destination
spec:
  host: reviews.prod.svc.cluster.local
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2

配置VirtualService将75%流量导入v1,25%流量导入v2

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: reviews-route
spec:
  hosts:
  - reviews.prod.svc.cluster.local
  http:
  - route:
    - destination:
        host: reviews.prod.svc.cluster.local
        subset: v2
      weight: 25
    - destination:
        host: reviews.prod.svc.cluster.local
        subset: v1
      weight: 75

服务熔断示例

一般使用异常检查点(OutlierDetection)和连接池管理(ConnectionPoolSettings)两种手段来实现服务熔断机制。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: reviews-cb-policy
spec:
  host: reviews.prod.svc.cluster.local
  trafficPolicy:
    connectionPool:
      tcp:
        maxConnections: 80
      http:
        http2MaxRequests: 1000
        maxRequestsPerConnection: 10
    outlierDetection:
      consecutiveErrors: 7
      interval: 5m
      baseEjectionTime: 15m
      maxEjectionPercent: 30

表示最大连接80个，最大请求数为1000个，单个连接最大请求次数为10次。如果服务实例5分钟内连续7次出现故障，则会被隔离15分钟。最大故障隔离比例为30%.

负载均衡配置示例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: bookinfo-ratings
spec:
  host: ratings.prod.svc.cluster.local
  trafficPolicy:
    loadBalancer:
      simple: LEAST_CONN
  subsets:
  - name: v3
    labels:
      version: v3
    trafficPolicy:
      loadBalancer:
        simple: ROUND_ROBIN
  - name: v4
    labels:
      version: v4
    trafficPolicy:
      loadBalancer:
        simple: RANDOM

实现bookinfo-ratings v3流量采取轮询的负载均衡策略，v4采取随机负载均衡策略。

TLS认证配置

mode: ISTIO_MUTUAL istio便可以自动进行密钥证书的管理

1
2
3
4
5
6
7
8
9
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: ratings-istio-mtls
spec:
  host: ratings.prod.svc.cluster.local
  trafficPolicy:
    tls:
      mode: ISTIO_MUTUAL

更多TLS配置示例 https://istio.io/docs/reference/config/networking/destination-rule/#TLSSettings

Istio服务网关配置 Gateway

Gateway在网格边缘接收外部访问，讲流量转发到网格内的服务。

Gateway配置示例

Gateway配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: my-gateway
  namespace: some-config-namespace
spec:
  selector:
    app: my-gateway-controller
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - uk.bookinfo.com
    - eu.bookinfo.com
    tls:
      httpsRedirect: true # sends 301 redirect for http requests
  - port:
      number: 443
      name: https-443
      protocol: HTTPS
    hosts:
    - uk.bookinfo.com
    - eu.bookinfo.com
    tls:
      mode: SIMPLE # enables HTTPS on this port
      serverCertificate: /etc/certs/servercert.pem
      privateKey: /etc/certs/privatekey.pem
  - port:
      number: 9443
      name: https-9443
      protocol: HTTPS
    hosts:
    - "bookinfo-namespace/*.bookinfo.com"
    tls:
      mode: SIMPLE # enables HTTPS on this port
      credentialName: bookinfo-secret # fetches certs from Kubernetes secret
  - port:
      number: 9080
      name: http-wildcard
      protocol: HTTP
    hosts:
    - "*"
  - port:
      number: 2379 # to expose internal service via external port 2379
      name: mongo
      protocol: MONGO
    hosts:
    - "*"

在VirtualService中的gateways字段来指定应用哪些gateway规则。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: bookinfo-rule
  namespace: bookinfo-namespace
spec:
  hosts:
  - reviews.prod.svc.cluster.local
  - uk.bookinfo.com
  - eu.bookinfo.com
  gateways:
  - some-config-namespace/my-gateway
  - mesh # applies to all the sidecars in the mesh
  http:
  - match:
    - headers:
        cookie:
          exact: "user=dev-123"
    route:
    - destination:
        port:
          number: 7777
        host: reviews.qa.svc.cluster.local
  - match:
    - uri:
        prefix: /reviews/
    route:
    - destination:
        port:
          number: 9080 # can be omitted if it's the only port for reviews
        host: reviews.prod.svc.cluster.local
      weight: 80
    - destination:
        host: reviews.qa.svc.cluster.local
      weight: 20

Gateway规则定义

Gateway配置一般配合VirtualService规则使用。

Gateway定义了服务从外面怎么访问。

VirtualService定义了匹配到的内部服务怎么流转。

不同v1alpha1的k8s，在Ingress中描述服务入口和后端服务的路由。Istio解耦了，Gateway只描述外部服务的访问。

Gateway定义了两个关键的字段

字段 描述
selector 必选，表示Gateway负载，作为入口处的Envoy运行的pod标签。通过这个找到对应的Envoy。
server 必选，表示开放的服务列表。数组类型。

后端服务server

server定义了真正的服务访问入口

字段 描述
port 必选字段，描述服务在哪个服务对外开放，是对外监听的端口。
hosts 必选字段，数组类型。FQDN域名，支持左侧通配符。支持使用命名空间过滤条件。

绑定到一个Gateway的VirtualService必须匹配这里的hosts条件。

除了hosts匹配到，还要VirtualService的exportTo字段包含Gateway所在的命名空间，才能被关联到。

TLS选项 TLSOptions

字段 描述
httpsRedirect 启用时，负载均衡器会给所有http连接发送一个301重定向到https
mode TLSmode

更多字段看官网： https://istio.io/docs/reference/config/networking/gateway/#Server-TLSOptions

Gateway的典型应用

  • 发布网格内的HTTP服务为外部HTTP访问
  • 将网格内的HTTPS服务发布为HTTPS服务外部访问
  • 将网格内的HTTP服务发布为HTTPS服务外部访问
  • 将网格内的HTTP服务发布为双向HTTPS外部访问
  • 将网格内的HTTP服务发布为HTTPS外部访问和HTTPS内部访问

Istio外部服务配置 ServiceEntry

将外部服务加入网格中，像网格内的服务一样管理。

ServiceEntry配置示例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: external-svc-https
spec:
  hosts:
  - api.dropboxapi.com
  - www.googleapis.com
  - api.facebook.com
  location: MESH_EXTERNAL
  ports:
  - number: 443
    name: https
    protocol: TLS
  resolution: DNS

ServiceEntry定义以及用法

完整： https://istio.io/docs/reference/config/networking/service-entry/#ServiceEntry

字段 描述
hosts 可以是一个DNS域名，还可以使用前缀模糊匹配。
addresses 服务关联的IP地址，支持CIDR这种前缀表达式，http流量该字段被忽略
posts 表示与外部服务关联的端口。必选。
location 表示服务是在内部还是外部。MESH_EXTERNAL和MESH_INTERNAL
resolution 服务发现模式，NONE、STATIC、DNS
subjectAltNames 服务负载的SAN列表
endpoints 与网格服务关联的网络地址，可以是IP也可以是主机名

ServiceEntry典型应用

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: tls-routing
spec:
  hosts:
  - wikipedia.org
  - "*.wikipedia.org"
  tls:
  - match:
    - sniHosts:
      - wikipedia.org
      - "*.wikipedia.org"
    route:
    - destination:
        host: internal-egress-firewall.ns1.svc.cluster.local

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: external-svc-httpbin
  namespace : egress
spec:
  hosts:
  - httpbin.com
  exportTo:
  - "."
  location: MESH_EXTERNAL
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS

Istio代理规则配置 Sidecar

定义一个全局的默认Sidecar配置在 root命名空间，叫istio-config 该空间下的所有workload允许Egress流量，istio-system命名空间下的所有workloadworkload也可以。

1
2
3
4
5
6
7
8
9
10
apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
  name: default
  namespace: istio-config
spec:
  egress:
  - hosts:
    - "./*"
    - "istio-system/*"
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
  name: default
  namespace: prod-us1
spec:
  ingress:
  - port:
      number: 9080
      protocol: HTTP
      name: somename
    defaultEndpoint: unix:///var/run/someuds.sock
  egress:
  - port:
      number: 9080
      protocol: HTTP
      name: egresshttp
    hosts:
    - "prod-us1/*"
  - hosts:
    - "istio-system/*"

Envoy Filter

新增加的 提供了对Envoy更信息的控制. 用来更新配置Envoy中的filter

有L4/L7的filter

https://istio.io/docs/reference/config/networking/envoy-filter/

参考资料

关注公众号 尹安灿