# Istio 1.1 中的 Sidecar 资源

缺省情况下，Istio 在 Pod 创建之前将 `istio-init` 和 `istio-proxy` 注入到 Pod 之中，使用 `istio-init` 对 iptables 进行初始化，将业务容器的流量拦截到 `istio-proxy`，从而完成通信控制权的移交工作——应用容器的自发 Ingress 和 Egress 通信，都从 Envoy 中留过，Envoy 作为数据平面，需要接受来自控制面的 xDS 指令，据此作出通信决策。

在 Istio 1.1 中引入了 Sidecar 资源对象，为这一拦截转发过程加入了一定的控制能力，可能给 Istio 的生产应用带来很好的效率提升。

## 基本结构

Sidecar 资源的一级结构很简单，由三个成员构成：

- `workloadSelector`：标签选择器，用来对 Pod 进行选择。这一字段是可选字段，如果忽略这一字段，则会对命名空间内的所有 Pod 生效。需要注意的是，一个命名空间之内，只允许存在一个不设置此字段的 Sidecar 对象。

- `ingress`：一个数组，用于处理进入 Pod 的流量，如果省略这一字段，Istio 会根据业务应用的工作负载定义来设置监听过程。
    - `port`：必要字段，监听的端口，如果使用 Unix domain socket，则设置为 0。
        - number
        - protocal
        - name
    - `bind`：监听器的绑定设置，可以是 `ip`，也可以是 `unix:///path/to/uds`，如果省略这一字段，Istio 会根据工作负载服务来自动填充。
    - `captureMode`：如果 `bind` 指定的是 IP 地址，这个字段可以指定是否拦截通信，如果绑定到 Unix domain socket，这一字段必须是 `DEFAULT` 或者 `NONE`。
    - `defaultEndpoint`：必要字段，Envoy 接收进入 Pod 的流量之后的转发目标。目标可以是 `127.0.0.1:PORT` 或者 `unix:///path/to/socket`
- `egress`：一个处理 Egress 流量的定义数组。
    - `port`：监听器的端口，如果使用 Unix domain socket，则设为 0。
    - `bind`：绑定到地址或 socket。
    - `captureMode`：同 `ingress`。
    - `hosts`：必要字段，用 `命名空间/服务 FQDN` 组合而成，可以是 VirtualService 或者 ServiceEntry 或者原始 Kubernetes 服务的名称，支持通配符。

## 开始之前

安装 Kubernetes 集群和 Istio，这里采用 1.1.2 的 demo-auth 配置。创建新命名空间 `other`，并打标签开启自动注入：

~~~shell
$ helm template install/kubernetes/helm/istio-init \
    --name istio-init --namespace istio-system | kubectl apply -f -
...
$ helm template install/kubernetes/helm/istio \
    --name istio --namespace istio-system \
    --values install/kubernetes/helm/istio/values-istio-demo-auth.yaml | kubectl apply -f -
...
$ kubectl create ns other
namespace/other created

$ kubectl label namespaces other istio-injection=enabled --overwrite
namespace/other labeled

$ kubectl label namespaces default istio-injection=enabled --overwrite
namespace/default labeled
~~~

分别在 `default` 和 `other` 中启动 `flaskapp` 和 `sleep` 应用。

~~~shell
$ kubectl apply -f sleep/sleep.yaml -n default
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f sleep/sleep.yaml -n other
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f httpbin/httpbin.yaml -n default
service/httpbin created
deployment.extensions/httpbin created
$ kubectl apply -f httpbin/httpbin.yaml -n other
service/httpbin created
deployment.extensions/httpbin created
~~~

检查一下调用关系：

~~~shell
$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
  "origin": "127.0.0.1"
}

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin.other:8000/ip
{
  "origin": "127.0.0.1"
}
~~~

## 服务的可见性

缺省情况下，注入了 Istio 的工作负载会进行全网格的传播，假设 `default` 和 `other` 两个不相干的命名空间，`other` 中有大量的服务，而 `default` 中只有几个，因为路由传播的关系，`default` 命名空间中的工作负载，其 Sidecar 也会带上 `other` 命名空间中的路由信息。例如：

~~~shell
$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep other
httpbin.other.svc.cluster.local 8000    -   outbound    &{EDS}
sleep.other.svc.cluster.local   80      -   outbound    &{EDS}
~~~

可以看到，在 `default` 命名空间中的 Pod，保存了其它命名空间中的路由信息。这不管是对内存消耗还是路由控制来说，都会造成一定浪费，我们可以定义一个 Sidecar 资源，限制 sleep 服务只访问同一命名空间的其他服务：

~~~yaml
apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
  name: sleep
spec:
  workloadSelector:
    labels:
      app: sleep  
  egress:
  - hosts:
    - "default/*"
~~~

提交到集群，看看效果：

~~~shell
$ kubectl apply -f sleep-egress.yaml
sidecar.networking.istio.io/sleep created

$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep httpbin
httpbin.default.svc.cluster.local   8000    -   outbound    &{EDS}
~~~

可以看到，httpbin 的路由只剩下了本命名空间之内的服务。再次尝试访问：

~~~shell
$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
  "origin": "127.0.0.1"
}

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl -v http://httpbin.other:8000/ip
*   Trying 10.245.156.252...
* TCP_NODELAY set
* Connected to httpbin.other (10.245.156.252) port 8000 (#0)
> GET /ip HTTP/1.1
> Host: httpbin.other:8000
> User-Agent: curl/7.61.1
> Accept: */*
>
< HTTP/1.1 404 Not Found
< date: Wed, 10 Apr 2019 04:50:15 GMT
< server: envoy
< content-length: 0
<
* Connection #0 to host httpbin.other left intact
~~~

这样一来，已经无法访问 `httpbin.other` 的服务了，但是如果尝试从 `other` 到 `default` 访问的话，还是可以继续的。

## Sidecar 的 Ingress 和 Egress

除了上面的小功能之外，Sidecar 的 `IstioEgressListener` 和 `IstioIngressListener` 都提供了很强大的功能，例如：

1. Envoy 可以为应用容器所监听的 Unix socket 提供反向代理服务。
1. 在没有 iptables 支持的情况下，可以使用 `bind` 结合 `port` 的方式，直接指定代理方案。
1. 可以在容器内部为 egress 服务提供基于 Unix socket 的反向代理。

详情可以参考官方参考文档：https://istio.io/docs/reference/config/networking/v1alpha3/sidecar/#IstioIngressListener

中文版：https://skyao.io/learning-istio/crd/network/sidecar.html

这些功能都非常有用，上面的文档中都提供了很好的应用场景，**但是这些特性我只有可见性部分测试成功了(╬￣皿￣)=○**，目前正在讨说法，非常希望是我错了。。