Istio 1.1 中的 Sidecar 资源
缺省情况下，Istio 在 Pod 创建之前将 istio-init 和 istio-proxy 注入到 Pod 之中，使用 istio-init 对 iptables 进行初始化，将业务容器的流量拦截到 istio-proxy，从而完成通信控制权的移交工作——应用容器的自发 Ingress 和 Egress 通信，都从 Envoy 中留过，Envoy 作为数据平面，需要接受来自控制面的 xDS 指令，据此作出通信决策。
在 Istio 1.1 中引入了 Sidecar 资源对象，为这一拦截转发过程加入了一定的控制能力，可能给 Istio 的生产应用带来很好的效率提升。
基本结构
Sidecar 资源的一级结构很简单，由三个成员构成：
workloadSelector：标签选择器，用来对 Pod 进行选择。这一字段是可选字段，如果忽略这一字段，则会对命名空间内的所有 Pod 生效。需要注意的是，一个命名空间之内，只允许存在一个不设置此字段的 Sidecar 对象。ingress：一个数组，用于处理进入 Pod 的流量，如果省略这一字段，Istio 会根据业务应用的工作负载定义来设置监听过程。port：必要字段，监听的端口，如果使用 Unix domain socket，则设置为 0。- number
- protocal
- name
bind：监听器的绑定设置，可以是ip，也可以是unix:///path/to/uds，如果省略这一字段，Istio 会根据工作负载服务来自动填充。captureMode：如果bind指定的是 IP 地址，这个字段可以指定是否拦截通信，如果绑定到 Unix domain socket，这一字段必须是DEFAULT或者NONE。defaultEndpoint：必要字段，Envoy 接收进入 Pod 的流量之后的转发目标。目标可以是127.0.0.1:PORT或者unix:///path/to/socket
egress：一个处理 Egress 流量的定义数组。port：监听器的端口，如果使用 Unix domain socket，则设为 0。bind：绑定到地址或 socket。captureMode：同ingress。hosts：必要字段，用命名空间/服务 FQDN组合而成，可以是 VirtualService 或者 ServiceEntry 或者原始 Kubernetes 服务的名称，支持通配符。
开始之前
安装 Kubernetes 集群和 Istio，这里采用 1.1.2 的 demo-auth 配置。创建新命名空间 other，并打标签开启自动注入：
$ helm template install/kubernetes/helm/istio-init \
--name istio-init --namespace istio-system | kubectl apply -f -
...
$ helm template install/kubernetes/helm/istio \
--name istio --namespace istio-system \
--values install/kubernetes/helm/istio/values-istio-demo-auth.yaml | kubectl apply -f -
...
$ kubectl create ns other
namespace/other created
$ kubectl label namespaces other istio-injection=enabled --overwrite
namespace/other labeled
$ kubectl label namespaces default istio-injection=enabled --overwrite
namespace/default labeled
分别在 default 和 other 中启动 flaskapp 和 sleep 应用。
$ kubectl apply -f sleep/sleep.yaml -n default
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f sleep/sleep.yaml -n other
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f httpbin/httpbin.yaml -n default
service/httpbin created
deployment.extensions/httpbin created
$ kubectl apply -f httpbin/httpbin.yaml -n other
service/httpbin created
deployment.extensions/httpbin created
检查一下调用关系：
$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
"origin": "127.0.0.1"
}
$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin.other:8000/ip
{
"origin": "127.0.0.1"
}
服务的可见性
缺省情况下，注入了 Istio 的工作负载会进行全网格的传播，假设 default 和 other 两个不相干的命名空间，other 中有大量的服务，而 default 中只有几个，因为路由传播的关系，default 命名空间中的工作负载，其 Sidecar 也会带上 other 命名空间中的路由信息。例如：
$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep other
httpbin.other.svc.cluster.local 8000 - outbound &{EDS}
sleep.other.svc.cluster.local 80 - outbound &{EDS}
可以看到，在 default 命名空间中的 Pod，保存了其它命名空间中的路由信息。这不管是对内存消耗还是路由控制来说，都会造成一定浪费，我们可以定义一个 Sidecar 资源，限制 sleep 服务只访问同一命名空间的其他服务：
apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
name: sleep
spec:
workloadSelector:
labels:
app: sleep
egress:
- hosts:
- "default/*"
提交到集群，看看效果：
$ kubectl apply -f sleep-egress.yaml
sidecar.networking.istio.io/sleep created
$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep httpbin
httpbin.default.svc.cluster.local 8000 - outbound &{EDS}
可以看到，httpbin 的路由只剩下了本命名空间之内的服务。再次尝试访问：
$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
"origin": "127.0.0.1"
}
$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl -v http://httpbin.other:8000/ip
* Trying 10.245.156.252...
* TCP_NODELAY set
* Connected to httpbin.other (10.245.156.252) port 8000 (#0)
> GET /ip HTTP/1.1
> Host: httpbin.other:8000
> User-Agent: curl/7.61.1
> Accept: */*
>
< HTTP/1.1 404 Not Found
< date: Wed, 10 Apr 2019 04:50:15 GMT
< server: envoy
< content-length: 0
<
* Connection #0 to host httpbin.other left intact
这样一来，已经无法访问 httpbin.other 的服务了，但是如果尝试从 other 到 default 访问的话，还是可以继续的。
Sidecar 的 Ingress 和 Egress
除了上面的小功能之外，Sidecar 的 IstioEgressListener 和 IstioIngressListener 都提供了很强大的功能，例如：
- Envoy 可以为应用容器所监听的 Unix socket 提供反向代理服务。
- 在没有 iptables 支持的情况下，可以使用
bind结合port的方式，直接指定代理方案。 - 可以在容器内部为 egress 服务提供基于 Unix socket 的反向代理。
详情可以参考官方参考文档：https://istio.io/docs/reference/config/networking/v1alpha3/sidecar/#IstioIngressListener
中文版：https://skyao.io/learning-istio/crd/network/sidecar.html
这些功能都非常有用，上面的文档中都提供了很好的应用场景，但是这些特性我只有可见性部分测试成功了(╬￣皿￣)=○，目前正在讨说法，非常希望是我错了。。