Istio 1.1 中的 Sidecar 资源

缺省情况下,Istio 在 Pod 创建之前将 istio-initistio-proxy 注入到 Pod 之中,使用 istio-init 对 iptables 进行初始化,将业务容器的流量拦截到 istio-proxy,从而完成通信控制权的移交工作——应用容器的自发 Ingress 和 Egress 通信,都从 Envoy 中留过,Envoy 作为数据平面,需要接受来自控制面的 xDS 指令,据此作出通信决策。

在 Istio 1.1 中引入了 Sidecar 资源对象,为这一拦截转发过程加入了一定的控制能力,可能给 Istio 的生产应用带来很好的效率提升。

基本结构

Sidecar 资源的一级结构很简单,由三个成员构成:

  • workloadSelector:标签选择器,用来对 Pod 进行选择。这一字段是可选字段,如果忽略这一字段,则会对命名空间内的所有 Pod 生效。需要注意的是,一个命名空间之内,只允许存在一个不设置此字段的 Sidecar 对象。

  • ingress:一个数组,用于处理进入 Pod 的流量,如果省略这一字段,Istio 会根据业务应用的工作负载定义来设置监听过程。

    • port:必要字段,监听的端口,如果使用 Unix domain socket,则设置为 0。
      • number
      • protocal
      • name
    • bind:监听器的绑定设置,可以是 ip,也可以是 unix:///path/to/uds,如果省略这一字段,Istio 会根据工作负载服务来自动填充。
    • captureMode:如果 bind 指定的是 IP 地址,这个字段可以指定是否拦截通信,如果绑定到 Unix domain socket,这一字段必须是 DEFAULT 或者 NONE
    • defaultEndpoint:必要字段,Envoy 接收进入 Pod 的流量之后的转发目标。目标可以是 127.0.0.1:PORT 或者 unix:///path/to/socket
  • egress:一个处理 Egress 流量的定义数组。

    • port:监听器的端口,如果使用 Unix domain socket,则设为 0。
    • bind:绑定到地址或 socket。
    • captureMode:同 ingress
    • hosts:必要字段,用 命名空间/服务 FQDN 组合而成,可以是 VirtualService 或者 ServiceEntry 或者原始 Kubernetes 服务的名称,支持通配符。

开始之前

安装 Kubernetes 集群和 Istio,这里采用 1.1.2 的 demo-auth 配置。创建新命名空间 other,并打标签开启自动注入:

$ helm template install/kubernetes/helm/istio-init \
    --name istio-init --namespace istio-system | kubectl apply -f -
...
$ helm template install/kubernetes/helm/istio \
    --name istio --namespace istio-system \
    --values install/kubernetes/helm/istio/values-istio-demo-auth.yaml | kubectl apply -f -
...
$ kubectl create ns other
namespace/other created

$ kubectl label namespaces other istio-injection=enabled --overwrite
namespace/other labeled

$ kubectl label namespaces default istio-injection=enabled --overwrite
namespace/default labeled

分别在 defaultother 中启动 flaskappsleep 应用。

$ kubectl apply -f sleep/sleep.yaml -n default
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f sleep/sleep.yaml -n other
service/sleep created
deployment.extensions/sleep created
$ kubectl apply -f httpbin/httpbin.yaml -n default
service/httpbin created
deployment.extensions/httpbin created
$ kubectl apply -f httpbin/httpbin.yaml -n other
service/httpbin created
deployment.extensions/httpbin created

检查一下调用关系:

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
  "origin": "127.0.0.1"
}

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin.other:8000/ip
{
  "origin": "127.0.0.1"
}

服务的可见性

缺省情况下,注入了 Istio 的工作负载会进行全网格的传播,假设 defaultother 两个不相干的命名空间,other 中有大量的服务,而 default 中只有几个,因为路由传播的关系,default 命名空间中的工作负载,其 Sidecar 也会带上 other 命名空间中的路由信息。例如:

$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep other
httpbin.other.svc.cluster.local 8000    -   outbound    &{EDS}
sleep.other.svc.cluster.local   80      -   outbound    &{EDS}

可以看到,在 default 命名空间中的 Pod,保存了其它命名空间中的路由信息。这不管是对内存消耗还是路由控制来说,都会造成一定浪费,我们可以定义一个 Sidecar 资源,限制 sleep 服务只访问同一命名空间的其他服务:

apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
  name: sleep
spec:
  workloadSelector:
    labels:
      app: sleep  
  egress:
  - hosts:
    - "default/*"

提交到集群,看看效果:

$ kubectl apply -f sleep-egress.yaml
sidecar.networking.istio.io/sleep created

$ istioctl proxy-config clusters sleep-69bd44b5bb-vwpzf | grep httpbin
httpbin.default.svc.cluster.local   8000    -   outbound    &{EDS}

可以看到,httpbin 的路由只剩下了本命名空间之内的服务。再次尝试访问:

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl http://httpbin:8000/ip
{
  "origin": "127.0.0.1"
}

$ kubectl exec -c sleep -it sleep-69bd44b5bb-vwpzf -- curl -v http://httpbin.other:8000/ip
*   Trying 10.245.156.252...
* TCP_NODELAY set
* Connected to httpbin.other (10.245.156.252) port 8000 (#0)
> GET /ip HTTP/1.1
> Host: httpbin.other:8000
> User-Agent: curl/7.61.1
> Accept: */*
>
< HTTP/1.1 404 Not Found
< date: Wed, 10 Apr 2019 04:50:15 GMT
< server: envoy
< content-length: 0
<
* Connection #0 to host httpbin.other left intact

这样一来,已经无法访问 httpbin.other 的服务了,但是如果尝试从 otherdefault 访问的话,还是可以继续的。

Sidecar 的 Ingress 和 Egress

除了上面的小功能之外,Sidecar 的 IstioEgressListenerIstioIngressListener 都提供了很强大的功能,例如:

  1. Envoy 可以为应用容器所监听的 Unix socket 提供反向代理服务。
  2. 在没有 iptables 支持的情况下,可以使用 bind 结合 port 的方式,直接指定代理方案。
  3. 可以在容器内部为 egress 服务提供基于 Unix socket 的反向代理。

详情可以参考官方参考文档:https://istio.io/docs/reference/config/networking/v1alpha3/sidecar/#IstioIngressListener

中文版:https://skyao.io/learning-istio/crd/network/sidecar.html

这些功能都非常有用,上面的文档中都提供了很好的应用场景,但是这些特性我只有可见性部分测试成功了(╬ ̄皿 ̄)=○,目前正在讨说法,非常希望是我错了。。

Avatar
崔秀龙

简单,是大师的责任;我们凡夫俗子,能做到清楚就很不容易了。

相关

下一页
上一页
comments powered by Disqus