首页 > 其他分享 >【云原生】Kubernetes（k8s）Istio Gateway 介绍与实战操作

【云原生】Kubernetes（k8s）Istio Gateway 介绍与实战操作

时间：2022-12-10 00:00:58浏览次数：69  
标签：kubectl http Kubernetes istio Istio bookinfo k8s Gateway

目录

一、概述

Istio 提供一种简单的方式来为已部署的服务建立网络，该网络具有负载均衡、服务间认证、监控、网关等功能，而不需要对服务的代码做任何改动。这里主要讲Istio Gateway服务。

  • istio 适用于容器或虚拟机环境（特别是 k8s），兼容异构架构。
  • istio 使用 sidecar（边车模式）代理服务的网络，不需要对业务代码本身做任何的改动。
  • HTTP、gRPC、WebSocket 和 TCP 流量的自动负载均衡。
  • istio 通过丰富的路由规则、重试、故障转移和故障注入，可以对流量行为进行细粒度控制；支持访问控制、速率限制和配额。
  • istio 对出入集群入口和出口中所有流量的自动度量指标、日志记录和跟踪。
  • istio 支持蓝绿发布和金丝雀发布（灰度发布）等。

Istio Gateway 描述在网格边缘运行的负载均衡器 接收传入或传出的 HTTP/TCP 连接。规格 描述应公开的一组端口，协议的类型 使用、负载均衡器的 SNI 配置等。

  • 使用网关为网格来管理入站和出站流量，可以让用户指定要进入或离开网格的流量。
  • Gateway 用于为 HTTP / TCP 流量配置负载均衡器，并不管该负载均衡器将在哪里运行。网格中可以存在任意数量的 Gateway，并且多个不同的 Gateway 实现可以共存。实际上，通过在配置中指定一组工作负载（Pod）标签，可以将 Gateway 配置绑定到特定的工作负载，从而允许用户通过编写简单的 Gateway Controller 来重用现成的网络设备。
  • Gateway 只用于配置 L4-L6 功能（例如，对外公开的端口，TLS 配置），所有主流的 L7 代理均以统一的方式实现了这些功能。然后，通过在 Gateway 上绑定 VirtualService 的方式，可以使用标准的 Istio 规则来控制进入 Gateway 的 HTTP 和 TCP 流量。

官方文档：https://istio.io/latest/zh/docs/
Istio Gateway 官方文档：https://preliminary.istio.io/latest/zh/docs/reference/config/networking/gateway/
GitHub地址：https://github.com/istio/istio

二、Istio 架构

在Kubernetes环境中，Ingress controller用于管理进入集群的流量。在Istio服务网格中 Istio Ingress Gateway承担相应的角色，它使用新的配置模型（Gateway 和 VirtualServices）完成流量管理的功能。通过下图做一个总的描述。
在这里插入图片描述

  1. 用户向某端口发出请求；
  2. 负载均衡器监听端口，并将请求转发到集群中的某个节点上。Istio Ingress Gateway Service 会监听集群节点端口的请求；
  3. Istio Ingress Gateway Service 将请求交给Istio Ingress Gateway Pod 处理。IngressGateway Pod 通过 Gateway 和 VirtualService 配置规则处理请求。其中，Gateway 用来配置端口、协议和证书，VirtualService 用来配置一些路由信息（找到请求对应处理的服务App Service）；
  4. Istio Ingress Gateway Pod将请求转给App Service；
  5. 最终的请求会交给App Service 关联的App Deployment处理。

三、通过 istioctl 部署 Istio

1）安装istioctl 工具

wget https://github.com/istio/istio/releases/download/1.16.0/istio-1.16.0-linux-amd64.tar.gz
tar -xf istio-1.16.0-linux-amd64.tar.gz
ln -s /opt/istio/istioctl/istio-1.16.0/bin/istioctl /usr/local/bin/istioctl
istioctl version

2）通过istioctl安装istio

要想知道有哪几个内置的配置文件，可以运行以下命令：

istioctl profile list

在这里插入图片描述

配置文件 核心组件 说明
default istio-ingressgateway、istiod 根据 IstioOperator API 的默认设置启动组件。可用于生产部署。
demo istio-egressgateway、istio-ingressgateway、istiod 旨在展示 Istio 的功能，启用了高级别的追踪和访问日志（需要具有适度的资源），适合学习使用。
minimal istiod 与默认配置文件相同，但只安装了控制平面组件。
remote - 配置 Multicluster Mesh 的 Remote Cluster。
empty - 不部署任何东西。可以作为自定义配置的基本配置文件。
preview istio-ingressgateway、istiod 实验性。用于探索 Istio 的新功能。不确保稳定性、安全性和性能。

当你足够熟悉 Istio 后，你可以自定义配置文件。但在此之前，我们还是先以 demo 来入门吧。

### 查看 demo 的配置信息
istioctl profile dump demo

### 开始安装
# 【方式一】通过--set传参
istioctl install --set profile=demo

# 【方式二】通过-f指定文件
cat >my-demo-config.yaml<<EOF
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  profile: demo
EOF

istioctl install -f my-demo-config.yaml

3）检查

istioctl version
kubectl -n istio-system get deploy

在这里插入图片描述

四、Istio Gateway

在Kubernetes环境中，Ingress controller用于管理进入集群的流量。在Istio服务网格中 Istio Ingress Gateway承担相应的角色，它使用新的配置模型（Gateway 和 VirtualServices）完成流量管理的功能。

  • 网关是一个运行在网格边缘的负载均衡器，用于接收传入或传出的HTTP/TCP连接。
  • 主要工作是接受外部请求，把请求转发到内部服务。网格边缘的Ingress 流量，会通过对应的 Istio IngressGateway Controller 进入到集群内部。

官方文档：https://preliminary.istio.io/latest/zh/docs/reference/config/networking/gateway/

【示例配置】

# cat gateway.yaml
apiVersion: networking.istio.io/v1beta1 
kind: Gateway
metadata:
  name: canary-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"	# *表示通配符，通过任何域名都可以访问

在上面这个yaml里我们配置了一个监听80端口的入口网关，它会将80端口的http流量导入到集群内对应的Virtual Service上。

五、Istio VirtualService 虚拟服务

VirtualService 是Istio流量治理的一个核心配置，可以说是Istio流量治理中最重要、最复杂的。VirtualService在形式上表示一个虚拟服务，将满足条件的流量都转发到对应的服务后端，这个服务后端可以是一个服务，也可以是在DestinationRule中定义的服务的子集。

官方文档：https://preliminary.istio.io/latest/zh/docs/reference/config/networking/virtual-service/

【示例配置】

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: reviews-route
spec:
  hosts:
  - reviews.prod.svc.cluster.local
  http:
  - name: "reviews-v2-routes"
    match:
    - uri:
        prefix: "/wpcatalog"
    - uri:
        prefix: "/consumercatalog"
    rewrite:
      uri: "/newcatalog"
    route:
    - destination:
        host: reviews.prod.svc.cluster.local
        subset: v2
  - name: "reviews-v1-route"
    route:
    - destination:
        host: reviews.prod.svc.cluster.local
        subset: v1

字段说明：
在这里插入图片描述

六、示例演示（bookinfo）

1）安装bookinfo应用

在这里插入图片描述
在线书店-bookinfo：该应用由四个单独的微服务构成，这个应用模仿在线书店的一个分类，显示一本书的信息，页面上会显示一本书的描述，书籍的细节（ISBN、页数等），以及关于这本书的一些评论。

Bookinfo应用分为四个单独的微服务

  • productpage这个微服务会调用details和reviews两个微服务，用来生成页面；
  • details这个微服务中包含了书籍的信息；
  • reviews这个微服务中包含了书籍相关的评论，它还会调用ratings微服务；
  • ratings这个微服务中包含了由书籍评价组成的评级信息。

reviews微服务有3个版本

  • v1版本不会调用ratings服务；
  • v2版本会调用ratings服务，并使用1到5个黑色星形图标来显示评分信息；
  • v3版本会调用ratings服务，并使用1到5个红色星形图标来显示评分信息。

1、创建命令空间

kubectl create ns bookinfo

2、添加label

因为Istio proxy的注入是基于label，因此我们需要为demo namespace添加label，

kubectl label namespace bookinfo istio-injection=enabled
kubectl get ns --show-labels bookinfo

3、开始部署bookinfo

cd /opt/istio/istioctl/istio-1.16.0
kubectl apply -f samples/bookinfo/platform/kube/bookinfo.yaml -n bookinfo
kubectl get pod -n bookinfo

在这里插入图片描述
然后我们可查看应用pod里的容器信息，可以看到已经被注入istio-proxy，

kubectl get pod productpage-v1-bf4b489d8-gt7gw -n bookinfo -o jsonpath='{.status.containerStatuses}' | jq

在这里插入图片描述

2）添加路由规则

服务部署后，还需要添加路由规则，将请求路由到对应的服务

kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml -n bookinfo
kubectl get virtualservice -n bookinfo

在这里插入图片描述

3）访问服务

1、通过NodePort访问

获取host ip，也就是ingressgateway pod所在机器ip

kubectl get po -l istio=ingressgateway -n istio-system -o jsonpath='{.items[0].status.hostIP}'

获取port，也就是80端口映射的目的端口，即31082

kubectl -n istio-system get service istio-ingressgateway

在这里插入图片描述

web：http://192.168.182.111:32688/productpage
在这里插入图片描述

2、通过externalip访问

因为我们是本地测试，肯定没法使用公网的LB，因此我们可以直接将externalip修改为某个node的ip或者VIP，这是设置一个VIP（跟node节点同网段），这样就能通过80端口访问

kubectl -n istio-system get service istio-ingressgateway

kubectl patch svc istio-ingressgateway --namespace istio-system --patch '{"spec": { "externalIPs": ["192.168.182.210"] }}'

在这里插入图片描述
从上图可知，会把VIP帮到kube-ipvs0虚拟网卡上。接下来就可以通过VIP访问web
在这里插入图片描述

4）卸载bookinfo服务

cd /opt/istio/istioctl/istio-1.16.0
sh samples/bookinfo/platform/kube/cleanup.sh

5）卸载 istio

istioctl manifest generate --set profile=demo | kubectl delete -f -

七、Istio Gateway 示例演示

在这里插入图片描述

1）Helm 安装 Nginx，Apache

# 添加chart源
helm repo add bitnami https://charts.bitnami.com/bitnami

# 安装Nginx 
helm pull bitnami/nginx --version 13.2.1
helm install my-nginx-1 ./nginx-13.2.1.tgz

# 安装Apache
helm pull bitnami/apache --version 9.2.7
helm install my-apache-1 ./apache-9.2.7.tgz

2）http 测试

1、配置 Gateway

网关将是 应用于在带有标签的容器上运行的代理 app: my-grafana-gateway


cat >my-http-gw.yaml<<EOF
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: my-http-gw
spec:
  selector:
    istio: ingressgateway # use Istio default gateway implementation
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - my-http-gw.com
EOF

使用默认网关，istio: ingressgateway需要跟默认网关svc的labels字段对应。
在这里插入图片描述

2、配置 VirtualService

要为进入上面的 Gateway 的流量配置相应的路由，必须为同一个 host 定义一个 VirtualService，并使用配置中的 gateways 字段绑定到前面定义的 Gateway 上：

cat >my-http-vs.yaml<<EOF
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: ratings-route
spec:
  hosts:
  - my-http-gw.com
  gateways:
  - my-http-gw # <---- bind to gateway
  http:
  - match:
    - uri:
        prefix: /nginx-1
    rewrite:
      uri: /
    route:
    - destination:
        host: my-nginx-1.default.svc.cluster.local  #<---- server name
        port:
          number: 80
  - match:
    - uri:
        prefix: /apache-1
    rewrite:
      uri: /
    route:
    - destination:
        host: my-apache-1.default.svc.cluster.local  #<---- server name
        port:
          number: 80
EOF

因为我们是本地测试，肯定没法使用公网的LB，因此我们可以直接将externalip修改为某个node的ip或者同网段的VIP，且type: LoadBalancer，这样就能通过80端口访问

kubectl -n istio-system get service istio-ingressgateway

# 192.168.182.210为VIP，无需自动创建，这个vip会自动绑定到kube-ipvs0虚拟网卡上
kubectl patch svc istio-ingressgateway --namespace istio-system --patch '{"spec": { "externalIPs": ["192.168.182.210"] }}'

在这里插入图片描述
配置hosts

192.168.182.210 my-http-gw.com

3、测试验证

http://my-http-gw.com/nginx-1
在这里插入图片描述
http://my-http-gw.com/apache-1
在这里插入图片描述

3）https 测试

1、生成证书（有证书可忽略）

自签名证书来只允许 https 流量来保证 istio ingress gateway 的安全。

openssl req -x509 -nodes -newkey rsa:2048 -keyout my-http-gw.com.key -out my-http-gw.com.cert -subj "/CN=*.my-http-gw.com"

### 证书添加到 kubernetes secret
kubectl create -n istio-system secret tls istio-ingressgateway-certs --key my-http-gw.com.key --cert my-http-gw.com.cert

### 查看证书和私钥是否部署成功
kubectl exec -it -n istio-system \
  $(kubectl -n istio-system get pods \
    -l istio=ingressgateway \
    -o jsonpath='{.items[0].metadata.name}') \
  -- ls -l /etc/istio/ingressgateway-certs/

2、配置 Gateway 和 VirtualService

网关将是 应用于在带有标签的容器上运行的代理 app: my-grafana-gateway

cat >my-https.yaml<<EOF
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: my-https-gw
spec:
  selector:
    istio: ingressgateway # use Istio default gateway implementation
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - my-http-gw.com
    tls:
     httpsRedirect: true
  - port:
      number: 443
      name: https
      protocol: HTTPS
    hosts:
    - my-http-gw.com
    tls:
      mode: SIMPLE
      serverCertificate: /opt/istio/test/tls/my-http-gw.com.crt
      privateKey: /opt/istio/test/tls/my-http-gw.com.key
---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: https-route
spec:
  hosts:
  - my-https-gw.com
  gateways:
  - my-https-gw # <---- bind to gateway
  http:
  - match:
    - uri:
        prefix: /nginx-1
    rewrite:
      uri: /
    route:
    - destination:
        host: my-nginx-1  #<---- server name
        port:
          number: 80
  - match:
    - uri:
        prefix: /apache-1
    rewrite:
      uri: /
    route:
    - destination:
        host: my-apache-1  #<---- server name
        port:
          number: 80
EOF

八、Ingress Controller 与 Istio Gateway 比较

K8S官方维护的Nginx Ingress Controller及 Istio Gateway 比较：

NGINX Ingress Controller Istio Gateway
根据HTTP Header选择路由规则 仅支持单个Header，不支持多个Header组合 支持
Header规则支持正则表达式 支持 支持
服务之间设置权重拆分流量 支持 支持
Header和权重规则组合使用 支持 支持
路由规则检查 不支持 支持
路由规则粒度 service service下的不同pod
支持的协议 HTTP1.1/HTTP2/gRPC/TCP/Websockets HTTP1.1/HTTP2/gRPC/TCP/Websockets/MongoDB

这样一比较，就很显然看出，Istio Gateway比Ingress Controller强大，这里只是介绍了常用的负载转发功能，还有流量控制，安全控制等功能，如果只是简单的负载转发用istio就点大材小用了，如果公司需要更复杂网络管控，可以选择istio，所以一般在生产环境中可以使用Istio Gateway应对复杂的网络环境。

Istio Gateway 介绍与 简单使用就先到这里了，有疑问的小伙伴欢迎给我留言，后续会持续更新【云原生+大数据】相关的文章，请小伙伴耐心等待~

标签：kubectl,http,Kubernetes,istio,Istio,bookinfo,k8s,Gateway
From： https://www.cnblogs.com/liugp/p/16970574.html

相关文章

  • K8s中部署并使用Dashboard
    一、下载dashboard文件从github上https://github.com/kubernetes/dashboard/releases/下载dashboard的recommended.yaml文件，下载完成后，打开此文件，需要修改：修改kuberne......
  • istio多集群探秘，部署了50次多集群后我得出的结论
     欢迎关注我的公众号： 目前刚开始写一个月，一共写了18篇原创文章，文章目录如下：istio多集群探秘，部署了50次多集群后我得出的结论istio多集群链路追踪，附实操视频istio防故障利......
  • Ubuntu 22.04 搭建K8s集群
    目录1.虚拟机基础配置配置静态ip设置主机名设置hosts安装ssh2.Ubuntu系统设置禁用swap修改内核参数3.安装containerd4.安装Kubernetes组件添加aptrepo安装Kubectl,ku......
  • K8s 高性能网络组件详解：Calico 的 IPIP 网络模式
    前言本文主要分析K8s中网络组件calico的IPIP网络模式。旨在理解IPIP网络模式下产生的calixxxx，tunl0等设备以及跨节点网络通信方式。可能看着有点枯燥，但是请花几分......
  • 每天一点基础K8S--K8S中的deployment（一）基础语法、扩容缩容、滚动升级和回滚
    deploymentdeployment基础上一节试验了replicaset控制器，它可以保证设置的pod数量，但是在升级时，却做不到自动升级，kubectlapply-fxxxx，并不能实时生效。今天看看deplo......
  • Kubernetes(k8s) kubectl set resources常用命令
    kubectl在$HOME/.kube目录中查找一个名为config的配置文件。可以通过设置KUBECONFIG环境变量或设置--kubeconfig参数来指定其它kubeconfig文件。本文主要介绍K......
  • Kubernetes 平台的生态系统介绍
    ​Kubernetes作为一个容器云管理平台，与底层的基础架构、企业周边的公共服务形成了一个完备的生态系统。如图1所示，一个完备的Kubernetes系统在设计和实现时，需要考虑多层面的......
  • 认识一下 Kubernetes 多集群服务 API
    由于各种原因，采用Kubernetes的企业内部存在着几个、几十甚至上百个集群。比如处于研发流程上的考虑，不同环境下都存在独立的集群；监管层面的考虑，就地存储的用户数据需要搭......
  • framework 用 jexus 也能跑 k8s
     Jexus以支持ASP.NET、Core、php在Linux上运行为特色，能够支持ASP.NET的原理，就是在Linux上安装了Mono（跨平台.NET运行环境），进而支持ASP.NET程序的运行。官网：JexusWebServ......
  • K8S 搭建 InfluxDB-Cluster
    github地址：https://github.com/influxtsdb/helm-charts/tree/master/charts/influxdb-cluster前提条件安装好K8S,helm，git配置好K8S存储部署和注意事项mkdir/......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99