Istio 1.1 中的 Sidecar 资源

缺省情况下，Istio 在 Pod 创建之前将 istio-init 和 istio-proxy 注入到 Pod 之中，使用 istio-init 对 iptables 进行初始化，将业务容器的流量拦截到 istio-proxy，从而完成通信控制权的移交工作——应用容器的自发 Ingress 和 Egress 通信，都从 Envoy 中留过，Envoy 作为数据平面，需要接受来自控制面的 xDS 指令，据此作出通信决策。

在 Istio 1.1 中引入了 Sidecar 资源对象，为这一拦截转发过程加入了一定的控制能力，可能给 Istio 的生产应用带来很好的效率提升。

基本结构

Sidecar 资源的一级结构很简单，由三个成员构成：

• workloadSelector：标签选择器，用来对 Pod 进行选择。这一字段是可选字段，如果忽略这一字段，则会对命名空间内的所有 Pod 生效。需要注意的是，一个命名空间之内，只允许存在一个不设置此字段的 Sidecar 对象。

• ingress：一个数组，用于处理进入 Pod 的流量，如果省略这一字段，Istio 会根据业务应用的工作负载定义来设置监听过程。

  • port：必要字段，监听的端口，如果使用 Unix domain socket，则设置为 0。
    • number
    • protocal
    • name
  • bind：监听器的绑定设置，可以是 ip，也可以是 unix:///path/to/uds，如果省略这一字段，Istio 会根据工作负载服务来自动填充。
  • captureMode：如果 bind 指定的是 IP 地址，这个字段可以指定是否拦截通信，如果绑定到 Unix domain socket，这一字段必须是 DEFAULT 或者 NONE。
  • defaultEndpoint：必要字段，Envoy 接收进入 Pod 的流量之后的转发目标。目标可以是 127.0.0.1:PORT 或者 unix:///path/to/socket

• egress：一个处理 Egress 流量的定义数组。

  • port：监听器的端口，如果使用 Unix domain socket，则设为 0。
  • bind：绑定到地址或 socket。
  • captureMode：同 ingress。
  • hosts：必要字段，用 命名空间/服务 FQDN 组合而成，可以是 VirtualService 或者 ServiceEntry 或者原始 Kubernetes 服务的名称，支持通配符。

开始之前

安装 Kubernetes 集群和 Istio，这里采用 1.1.2 的 demo-auth 配置。创建新命名空间 other，并打标签开启自动注入：

$ helm template install/kubernetes/helm/istio-init \
    --name istio-init --namespace istio-system | kubectl apply -f -
...
$ helm template install/kubernetes/helm/istio \
    --name istio --namespace istio-system \
    --values install/kubernetes/helm/istio/values-istio-demo-auth.yaml | kubectl apply -f -
...
$ kubectl create ns other
namespace/other created

$ kubectl label namespaces other istio-injection=enabled --overwrite
namespace/other labeled

$ kubectl label namespaces default istio-injection=enabled --overwrite
namespace/default labeled

分别在 default 和 other 中启动 flaskapp 和 sleep 应用。

$ kubectl apply -f sleep/sleep.yaml -n default
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f sleep/sleep.yaml -n other
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f httpbin/httpbin.yaml -n default
service/httpbin created
deployment.extensions/httpbin created
$ kubectl apply -f httpbin/httpbin.yaml -n other
service/httpbin created
deployment.extensions/httpbin created

检查一下调用关系：

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
  "origin": "127.0.0.1"
}

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin.other:8000/ip
{
  "origin": "127.0.0.1"
}

服务的可见性

缺省情况下，注入了 Istio 的工作负载会进行全网格的传播，假设 default 和 other 两个不相干的命名空间，other 中有大量的服务，而 default 中只有几个，因为路由传播的关系，default 命名空间中的工作负载，其 Sidecar 也会带上 other 命名空间中的路由信息。例如：

$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep other
httpbin.other.svc.cluster.local 8000    -   outbound    &{EDS}
sleep.other.svc.cluster.local   80      -   outbound    &{EDS}

可以看到，在 default 命名空间中的 Pod，保存了其它命名空间中的路由信息。这不管是对内存消耗还是路由控制来说，都会造成一定浪费，我们可以定义一个 Sidecar 资源，限制 sleep 服务只访问同一命名空间的其他服务：

apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
  name: sleep
spec:
  workloadSelector:
    labels:
      app: sleep  
  egress:
  - hosts:
    - "default/*"

提交到集群，看看效果：

$ kubectl apply -f sleep-egress.yaml
sidecar.networking.istio.io/sleep created

$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep httpbin
httpbin.default.svc.cluster.local   8000    -   outbound    &{EDS}

可以看到，httpbin 的路由只剩下了本命名空间之内的服务。再次尝试访问：

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
  "origin": "127.0.0.1"
}

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl -v http://httpbin.other:8000/ip
*   Trying 10.245.156.252...
* TCP_NODELAY set
* Connected to httpbin.other (10.245.156.252) port 8000 (#0)
> GET /ip HTTP/1.1
> Host: httpbin.other:8000
> User-Agent: curl/7.61.1
> Accept: */*
>
< HTTP/1.1 404 Not Found
< date: Wed, 10 Apr 2019 04:50:15 GMT
< server: envoy
< content-length: 0
<
* Connection #0 to host httpbin.other left intact

这样一来，已经无法访问 httpbin.other 的服务了，但是如果尝试从 other 到 default 访问的话，还是可以继续的。

Sidecar 的 Ingress 和 Egress

除了上面的小功能之外，Sidecar 的 IstioEgressListener 和 IstioIngressListener 都提供了很强大的功能，例如：

1. Envoy 可以为应用容器所监听的 Unix socket 提供反向代理服务。
2. 在没有 iptables 支持的情况下，可以使用 bind 结合 port 的方式，直接指定代理方案。
3. 可以在容器内部为 egress 服务提供基于 Unix socket 的反向代理。

详情可以参考官方参考文档：https://istio.io/docs/reference/config/networking/v1alpha3/sidecar/#IstioIngressListener

中文版：https://skyao.io/learning-istio/crd/network/sidecar.html

这些功能都非常有用，上面的文档中都提供了很好的应用场景，但是这些特性我只有可见性部分测试成功了(╬￣皿￣)=○，目前正在讨说法，非常希望是我错了。。