• 主页
  • 通知
  • Linux 基金会开源软件学园分享：Istio 的架构与流量管理机制解析

本文详述了从用户配置 Istio 流量管理资源对象到应用到配置下发并作用于 Envoy 的全过程。

  • 2022/11/11

这篇文章是根据笔者在 Linux Foundation APAC“源来如此” 开源软件学园技术公开课 《Istio 架构与流量管理机制解析》分享内容整理而成。

image
幻灯片视图

前言

Istio 自 2017 年开源，至今已有 5 年多时间，业界已经出版了很多本介绍 Istio 的图书，包括笔者参与编写的《深入理解 Istio》，网上也有很多教程和文章介绍 Istio 配置的用法，但是笔者觉得都还不够生动形象，本文将发挥互联网多媒体的优势，笔者整理了以前撰写的介绍 Istio 的文章及绘制的图片，同时结合 Istio 的最新进展，重新撰写一篇介绍 Istio 架构和基础的流量管理功能的文章。读者可以跟着我一起来动手体验，一步步深入了解 Istio。

本次分享内容包括：

  • Istio 的架构与部署模式：Sidecar、Proxyless 和 Ambient 模式解析
  • Istio 中的流量管理机制及资源对象介绍
  • Istio 部署与安装示例
  • Istio 中的流量拦截与路由过程详解

准备条件

为了能够自己动手实验，你需要准备：

  • Kubernetes 集群 1.21+
  • Istio 1.15
  • Kubectl
  • Lens（我推荐的一个 Kubernetes UI）

Istio 的架构

下面我就以 Istio 官方 task Requst routing 中的例子来说明，sidecar 模式下 VirtualService 是如何运作的。

我们先简要描述下这个例子在开始前的 Istio Mesh 状态：

  1. 安装好 Istio，并为 default namespace 开启了自动 sidecar 注入；
  2. 在 default namespace 下安装了 bookinfo 示例，Bookinfo 示例中的 Kubernetes Service 会自动注册到 Istio Mesh 的 Cluster 中，例如 outbound|9080||details.default.svc.cluster.local，注意在其中没有 subset 信息；
  3. 创建了一系列的 Istio CR，包括：
    1. Gateway ： bookinfo-gateway 用于选择 Istio 的 Ingress Gateway，作为 bookinfo 的对外流量入口；
    2. DestinationRule：productpage、reviews、ratings、details 将这些流量路径通过 subset 与 Kubernetes 的 Service 关联起来，将用于未来的分版本路由。实际上为了让 Bookinfo 可以运行起来，这些 DestinationRule 目前都是不必要的；但是你创建了这些 DestinationRule 之后，就会在 Istio Mesh 中创建新的 Cluster 配置，比如 outbound|9080|v1|reviews.default.svc.cluster.local 这些 dynamic_active_clusters ，在创建 VirtualService 指定路由的时候，Istiod 就会下发 dynamic_route_configs 给 sidecar，其中会包含 reviews.default.svc.cluster.local:9080 路由，其中指定了将路由到的 cluster，这个 cluster 就是在 VirtualService 中配置的那个 host 的 subset；
    3. VirtualService：bookinfo 指定了流量在通过 bookinfo-gateway 进入 Istio Mesh 之后怎么走，其中指定了 URI 匹配的目的地是 productpage，请注意这里的 productpage 对应的是 Kubernetes 中的 Service。

要想实现在 bookinfo 示例的网页中每次刷新显示的书籍评分都显示星级，只需要创建并应用如下的 VirtualService 即可：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
  - reviews
  http:
  - route:
    - destination:
        host: reviews
        subset: v1

下面是部署了 VirtualService 之后 Istio 网格背后发生的事情。

步骤一：流量拦截

当你为某个 namespace 开启了 sidecar 自动注入或者手动向 Deployment 的 pod 中注入了 sidecar，进出该 pod 的 TCP 服务流量经过 iptables 拦截到 Envoy 的 15006 端口，详细过程请见Istio 中的 Sidecar 注入、透明流量劫持及流量路由过程详解 。

步骤二：配置下发

你使用 kubectl 应用了 YAML 配置到 Istio Mesh，默认情况下，Istiod 使用 xDS 将配置下发到所有 namespace 下的 pod 中，除非你为 VirtualService 配置了 exportTo 字段。这些配置被应用到 pod 内的 Envoy 上，你可以用执行下面的命令查看某个 pod 中的 Envoy 的当前配置：

kubectl -n default port-forward deploy/productpage-v1 15000

然后在浏览器中打开 http://localhost:15000 就可以进入 Envoy 的 admin 页面，查看 Envoy 的当前配置。在应用新的 VirtualService 之前，你可以保存当前 Envoy 的配置，然后应用后的 Envoy 配置做对比。关于 sidecar 中各个端口的详细用法请见Istio 中的各组件端口及功能详解 。

步骤三：Envoy 处理流量

被拦截的流量在进入 Pod 的 Envoy Inbound Handler 后，然后进入 Envoy 的 Filter Chain，对于 HTTP 流量会进入 HttpConnectionManager（HCM）这个高级网络过滤器链，这里面有一系列的 HTTP 过滤器。Productpage 页面对 reviews 服务的访问究竟走哪个 subset，还得看 prodcutpage pod 中的 Envoy 配置。在步骤二的那个页面上查看 config_dump，你将看到 Envoy 的详细配置，其中的 dynamic_route_configs 中，可以看到对 reviews.default.svc.cluster.local:9080 服务的 Route 配置是 outbound|9080|v2|reviews.default.svc.cluster.local Cluster，再查看这个 Cluster 的配置，可以看到是用 EDS 来获取的，你可以使用 istioctl proxy-config endpoint xxx 查看该 pod 上可识别的所有 Endpoint。

关于详细流程请参考分享的幻灯片 及演示视频。

更多资源

归根结底，在 Istio 网格中是 Envoy 处理的七层流量，要想了解更底层的原理，需要对 Envoy 有更详细的了解。推荐大家学习 Envoy 基础教程，还有下面这些学习资源：

关于

“源来如此”是由 Linux 基金会开源软件学园主办的开源技术公开课系列活动。Linux 基金会开源软件学园是 Linux 基金会中国区官方培训平台，致力于为中国软件行业培养具备专业开源技能的人才，不仅为中国开发者提供来自源头的开源技术课程，更发挥 Linux 基金会开源领导能力，积极与国内权威技术专家、知名软件企业合作，开展开源技术公开课系列活动，让更多人了解开源知识，以开源技术公开课为窗口了解开源世界。

Linux Foundation 开源软件学园（LFOSSA）依托于全球最大的开源软件组织，是领先全球的高端专业软件人才教育机构，为科技企业培养了大量软件人才，Linux 基金会开源软件学园不仅拥有丰富的线上专业课程，面授课程的导师同样是由业内资深专家担任，所颁发的证书更是全球认可的专业资质。Linux 基金会做为非牟利国际技术组织，致力于通过开源推动创新和促进科技发展，我们唯一的目标就是帮助您的事业发展更上一层楼。

查看详情