Gloo，充满想象力的 API Gateway

最近更新于 2019 年 12 月 29 日 4 分钟阅读时长原创

缘起

2018 年 11 月，在 Medium 上闲逛时候看到一篇吓人的东西：Introducing SuperGloo: The Service Mesh Orchestration Platform，服务网格编排器——当时感觉挺奇幻的，在群里打趣了一下，并不以为意；直到有一天看到了另外一条消息：

My new adventure! Starting as Field CTO @soloio_inc https://t.co/FQKW2eoLlw
— Christian Posta (@christianposta) January 2, 2019

著名技术网红 Christian Posta 跳槽了，又是这个 solo.io，这就不能不好奇了。在网站上浏览一圈，感觉脑洞大开，不管是否现实，真的有趣，一时手痒，又拿出祖传的 Hello world，有了这篇文章。

产品

Solo.io 首页上列出了六个产品：

Gloo：混合应用网关；
GlooE：Gloo 的企业版；
SuperGloo：服务网格编排器；
Sqoop：构建在 Gloo 之上的 GraphQL 引擎，提供跨 API 的查询支持；
UniK：将代码编译为 unikernels 和 MicroVM；
Squash：在多云环境下为 IDE 提供微服务调试支持。

自然我最感兴趣的就是 SuperGloo 和 Gloo 了。宣发稿中已经做出了很多介绍，根据 CLI Reference 看看其中的亮点。

SuperGloo

注意，这是一个“网格编排器”，因此其特性都是跨网格的。

支持 Istio、Consul、Linkerd2 以及 AppMesh 的安装部署；
路由规则：
- 流量迁移；
- 故障注入；
- 超时控制；
- 重试控制；
- CORS 策略；
- 流量镜像；
- Header 处理。
安全加固：
- 策略管理；
- mTLS；
- Ingress 加固

事实上这部分的特性主要是基于 Istio 的实现，Linkerd2 和 Consul 自身的功能还相当匮乏，具体情况可以参看其路线快照

Gloo

作为一个混合应用网关，其最大特色就是跨云的网关支持：

支持 Upstream：
- Kubernetes
- AWS
- Azure
- Consule
- Static
VirtualService：在网关上定义虚拟服务，并在此基础上提供限流。
路由：在虚拟服务中定义访问的路由规则。

Gloo 初体验

下面我们会使用 Gloo 将一个 Kubernetes 集群上的 HTTPBIN 服务和一个运行在 Azure 上的 Function 粘合起来，合作提供服务，并在最后进行限流测试。

Gloo 部署

Gloo 要求 Kubernetes 版本在 1.8 以上

使用脚本安装客户端：

curl -sL https://run.solo.io/gloo/install | sh

按照后续指引完成之后，就安装好了 glooctl 的客户端了，接下来是部署 Gloo：

$ glooctl install kube

$ kubectl get po -n gloo-system
NAME                            READY   STATUS    RESTARTS   AGE
discovery-78bb6fff4c-86t9c      1/1     Running   0          1m
gateway-6bc69b9cdc-4cgpv        1/1     Running   0          1m
gateway-proxy-bd895c6db-pxk8q   1/1     Running   0          1m
gloo-7588c6d774-25z5f           1/1     Running   0          1m

$ kubectl get svc -n gloo-system
NAME            TYPE           CLUSTER-IP       EXTERNAL-IP      PORT(S)          AGE
gateway-proxy   LoadBalancer   10.245.237.65    203.129.214.16   8080:30859/TCP   1m
gloo            ClusterIP      10.245.194.168   <none>           9977/TCP         1m

这样 Gloo 就成功启动并运行了。

部署 Kubernetes 应用

首先部署我们的老朋友 httpbin：


$ kubectl create deployment httpbin --image=citizenstig/httpbin
deployment.apps/httpbin created
$ kubectl expose deploy httpbin --name=httpbin --port 8000 --selector="app=httpbin"
service/httpbin exposed
$ kubectl get svc httpbin
NAME      TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)    AGE
httpbin   ClusterIP   10.245.47.195   <none>        8000/TCP   1m

服务已经成功建立，是缺省的 ClusterIP 类型。

通过 Gloo 提供对外服务

我们希望通过 http://[service-ip]/httpbin/ 的形式，透过 Gloo 的负载均衡服务，对外开放 httpbin 的 API。在 Gloo 中首先通过其发现服务，查找系统中可用的 Upstream：

$ glooctl get upstreams

+--------------------------------+------------+----------+------------------------------+
|            UPSTREAM            |    TYPE    |  STATUS  |           DETAILS            |
+--------------------------------+------------+----------+------------------------------+
| default-httpbin-8000           | Kubernetes | Accepted | svc name:      httpbin       |
|                                |            |          | svc namespace: default       |
|                                |            |          | port:          8000          |
......

可以看到，Gloo 使用 Kubernetes Service 创建了 Upstream；default-httpbin-8000。可以使用 glooctl get upstream default-httpbin-8000 -o yaml 获取其定义：

discoveryMetadata: {}
metadata:
  labels:
    app: httpbin
    discovered_by: kubernetesplugin
  name: default-httpbin-8000
  namespace: gloo-system
  resourceVersion: "13678"
status:
  reportedBy: gloo
  state: Accepted
upstreamSpec:
  kube:
    selector:
      app: httpbin
    serviceName: httpbin
    serviceNamespace: default
    servicePort: 8000

接下来为服务创建一个 httpbin 路径：

$ glooctl add route \
  --path-prefix /httpbin \
  --dest-name default-httpbin-8000 \
  --prefix-rewrite /
selected virtualservice default for route
+-----------------+---------+------+----------+---------+--------------------------------+
| VIRTUAL SERVICE | DOMAINS | SSL  |  STATUS  | PLUGINS |             ROUTES             |
+-----------------+---------+------+----------+---------+--------------------------------+
| default         | *       | none | Accepted |         | /httpbin ->                    |
|                 |         |      |          |         | default-httpbin-8000           |

可以看到，为了创建这个路由规则，首先创建了缺省的虚拟服务。

测试服务

$ export GATEWAY_URL=$(glooctl gateway url)
$ curl ${GATEWAY_URL}/httpbin/get
{
  "args": {},
  "headers": {
    "Accept": "*/*",
    "Content-Length": "0",
    "Host": "206.189.254.16:8080",
    "User-Agent": "curl/7.54.0",
    "X-Envoy-Expected-Rq-Timeout-Ms": "15000",
    "X-Envoy-Original-Path": "/httpbin/get",
    "X-Request-Id": "1bb19f60-57c9-43aa-b78a-1cd556cc5800"
  },
  "origin": "10.244.93.3",
  "url": "http://206.189.254.16:8080/get"
}
$ curl ${GATEWAY_URL}/httpbin/ip
{
  "origin": "10.244.93.3"
}

可以看到，我们成功得到了想要的路径映射。

为 Lambda 创建 Upstream

Lambda 是不会被自动发现的，因此我们要手工创建，这里采用交互式的方法：

创建 Secret

glooctl create secret aws -i
? Please choose a namespace gloo-system
? name of secret aws
? Enter AWS Access Key ID (leave empty to read credentials from ~/.aws/credentials):  ...
? Enter AWS Secret Key (leave empty to read credentials from ~/.aws/credentials):  ...

创建 Upstream

$ glooctl create upstream -i
? What type of Upstream do you want to create? aws
? What region are the AWS services in for this upstream? us-east-2
? Choose an AWS credentials secret to link to this upstream:  gloo-system.aws
? namespace: gloo-system
? name: hello-lambda
+--------------+------+----------+-------------------------+
|   UPSTREAM   | TYPE |  STATUS  |         DETAILS         |
+--------------+------+----------+-------------------------+
| hello-lambda | AWS  | Accepted | region: us-east-2       |
|              |      |          | secret: gloo-system.aws |
|              |      |          |                         |
+--------------+------+----------+-------------------------+

为 Lambda 创建 Route