服务网格

概述

服务网格（Service Mesh）是一种专门用于处理服务间通信的基础设施层。它通过在服务之间插入一个轻量级的网络代理层，实现了服务间通信的可观测性、安全性和可靠性。服务网格为微服务架构提供了统一的流量管理、安全和可观测性解决方案。

服务网格的演进

随着微服务架构的广泛采用，服务间通信变得越来越复杂：

服务数量激增，通信拓扑复杂
服务间需要安全的通信通道
需要细粒度的流量控制
要求高可观测性和监控
跨环境和多集群部署的需求

服务网格应运而生，它将服务间通信的关注点从应用代码中分离出来，实现了通信逻辑的集中管理和统一配置。

基本概念

1. 核心组件

数据平面（Data Plane）

Sidecar代理：部署在每个服务实例旁边的轻量级代理（如Envoy）
负责功能：流量转发、负载均衡、健康检查、TLS终止、指标收集
工作方式：拦截所有服务间的网络流量

控制平面（Control Plane）

集中管理：统一配置和管理所有Sidecar代理
核心功能：服务发现、配置管理、策略执行、安全策略
组件：通常包含多个服务，如Istio的Pilot、Galley、Citadel等

2. 服务网格架构

┌─────────────────────────────────────────────────────────────┐
│                        控制平面                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  服务发现    │ -> │  配置管理    │ -> │  策略执行    │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
│         ↑                   │                   │           │
│         │                   ↓                   ↓           │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  认证授权    │    │  遥测收集    │    │  API管理     │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
└─────────────────────────────────────────────────────────────┘
                             │
                             │ 配置分发
                             ↓
┌─────────────────────────────────────────────────────────────┐
│                        数据平面                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  Sidecar     │ <- │  Sidecar     │ <- │  Sidecar     │  │
│  │  代理        │    │  代理        │    │  代理        │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
│         │                   │                   │           │
│         ↓                   ↓                   ↓           │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  服务A       │    │  服务B       │    │  服务C       │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
└─────────────────────────────────────────────────────────────┘

3. 服务网格与传统服务治理的区别

特性	传统服务治理	服务网格
实现方式	嵌入应用代码	独立代理层
语言依赖性	特定语言实现	语言无关
配置管理	分散在各服务	集中管理
可观测性	有限	全面的遥测
安全特性	基本	高级（mTLS、授权）
流量管理	简单	细粒度控制
部署复杂性	低	中等

4. 主流服务网格解决方案

Istio

特点：功能全面、生态成熟、社区活跃
核心组件：Pilot（流量管理）、Citadel（安全）、Galley（配置管理）、Mixer（遥测）
适用场景：大型企业级应用、复杂微服务架构
优势：强大的流量管理、完整的安全特性、丰富的可观测性
劣势：配置复杂、资源消耗较大

Linkerd

特点：轻量级、易用性高、性能优秀
核心组件：Controller、Proxy（基于Rust的轻量级代理）
适用场景：快速部署、资源受限环境、简单微服务架构
优势：低资源消耗、易于配置、自动mTLS
劣势：功能相对有限

Consul Connect

特点：与Consul服务发现集成、多数据中心支持
核心组件：Consul服务器、Envoy代理
适用场景：已有Consul部署、多数据中心环境
优势：服务发现集成、多数据中心支持、简单配置
劣势：生态相对较小

核心特性

1. 流量管理

智能路由

基于权重的路由：按比例分配流量到不同版本
基于请求内容的路由：根据HTTP头、路径等进行路由
故障注入：模拟故障进行测试
重定向和重写：修改请求和响应

负载均衡

多种负载均衡算法：轮询、最少连接、随机
会话保持：基于Cookie或 header的会话粘性
健康检查：主动和被动健康检查
熔断：自动检测和隔离故障服务

流量控制

速率限制：限制请求速率
连接池：管理服务间连接
重试策略：自动重试失败的请求
超时设置：设置请求超时时间

2. 安全

服务间安全通信

mTLS：自动双向TLS加密
身份验证：基于SPIFFE ID的服务身份
授权：细粒度的访问控制策略
密钥管理：自动密钥轮换和管理

安全策略

网络策略：控制服务间通信
访问控制：基于角色的访问控制
安全审计：记录所有服务间通信

3. 可观测性

遥测

指标收集：自动收集服务间通信指标
分布式追踪：端到端请求追踪
日志聚合：集中管理服务日志
健康状态：实时监控服务健康

监控和告警

Prometheus集成：指标存储和查询
Grafana集成：可视化监控面板
告警配置：基于指标的告警
分布式追踪：Jaeger或Zipkin集成

4. 自动注入和Sidecar模式

Sidecar注入

自动注入：通过Mutating Webhook自动注入
手动注入：通过命令行工具手动注入
注入策略：基于命名空间或标签的注入策略

Sidecar配置

资源限制：设置Sidecar的资源请求和限制
代理配置：自定义代理行为
网络配置：配置网络策略和规则

工作原理

1. 服务发现

控制平面从Kubernetes API获取服务信息
构建服务注册表
将服务发现信息推送到所有Sidecar代理
Sidecar使用服务注册表进行服务发现

2. 流量处理

服务A发送请求到服务B
请求被服务A的Sidecar拦截
Sidecar根据配置的规则处理请求
请求被转发到服务B的Sidecar
服务B的Sidecar处理请求并转发给服务B
响应按相反方向返回

3. 安全机制

控制平面为每个服务生成身份证书
Sidecar使用证书进行mTLS通信
控制平面推送授权策略到Sidecar
Sidecar根据策略控制服务访问

4. 可观测性实现

Sidecar自动收集服务间通信指标
指标被发送到遥测系统
分布式追踪信息被注入到请求中
日志被集中收集和分析

应用场景

1. 微服务架构治理

服务数量多：100+服务的大型微服务架构
复杂通信：服务间调用关系复杂
多团队协作：多个团队共同开发和维护
需要细粒度控制：流量管理、安全和可观测性需求高

2. 多集群服务管理

跨集群通信：不同Kubernetes集群间的服务通信
统一管理：集中管理多个集群的服务网格
故障隔离：集群间故障隔离和容错
流量路由：跨集群流量的智能路由

3. 混合云服务集成

云原生应用：同时运行在公有云和私有云
服务迁移：从传统环境迁移到云环境
统一治理：跨环境的统一服务治理
安全合规：满足不同环境的安全要求

4. 服务迁移和现代化

应用现代化：将传统应用逐步迁移到微服务
渐进式部署：新旧系统并存期间的流量管理
灰度发布：新服务的逐步引入
服务版本管理：多版本服务的并行运行

Istio安装和配置

1. 环境准备

系统要求

Kubernetes集群（1.21+）
kubectl命令行工具
足够的资源（至少4GB内存、2CPU）
网络插件支持（Calico、Flannel等）

检查环境

bash

# 检查Kubernetes版本
kubectl version --short

# 检查集群状态
kubectl cluster-info

# 检查节点状态
kubectl get nodes

# 检查可用资源
kubectl describe nodes | grep -A 10 "Allocated resources"

2. Istio安装方法

使用istioctl安装（推荐）

下载istioctl

bash

# 下载最新版本
curl -L https://istio.io/downloadIstio | sh -

# 进入istio目录
cd istio-*

# 添加istioctl到PATH
export PATH=$PWD/bin:$PATH

# 验证安装
istioctl version

安装Istio

bash

# 安装默认配置
istioctl install --set profile=default -y

# 安装演示配置（包含示例应用）
istioctl install --set profile=demo -y

# 安装最小配置（仅核心组件）
istioctl install --set profile=minimal -y

# 安装默认配置并启用Sidecar自动注入
istioctl install --set profile=default --set components.ingressGateways[0].enabled=true -y

验证安装

bash

# 检查Istio组件
kubectl get pods -n istio-system

# 检查Istio服务
kubectl get services -n istio-system

# 检查Istio CRD
kubectl get crd | grep istio

使用Helm安装

添加Istio Helm仓库

bash

helm repo add istio https://istio-release.storage.googleapis.com/charts
helm repo update

安装Istio基础组件

bash

# 创建命名空间
kubectl create namespace istio-system

# 安装Istio控制平面
helm install istiod istio/istiod -n istio-system --set meshConfig.accessLogFile=/dev/stdout

# 安装Ingress Gateway
helm install istio-ingressgateway istio/gateway -n istio-system --set service.type=LoadBalancer

验证Helm安装

bash

helm list -n istio-system
kubectl get pods -n istio-system

3. 配置Sidecar自动注入

为命名空间启用自动注入

bash

# 为default命名空间启用自动注入
kubectl label namespace default istio-injection=enabled

# 检查命名空间标签
kubectl get namespace default -L istio-injection

# 为特定命名空间禁用自动注入
kubectl label namespace default istio-injection=disabled --overwrite

手动注入Sidecar

bash

# 手动注入Sidecar到现有部署
kubectl get deployment -n default
kubectl get deployment <deployment-name> -n default -o yaml | istioctl kube-inject -f - | kubectl apply -f -

# 手动注入到YAML文件
istioctl kube-inject -f deployment.yaml > deployment-istio.yaml
kubectl apply -f deployment-istio.yaml

4. Istio配置管理

核心配置文件

IstioOperator：Istio的主配置资源
MeshConfig：全局网格配置
Gateway：入口网关配置
VirtualService：虚拟服务配置
DestinationRule：目标规则配置
ServiceEntry：服务条目配置

自定义Istio配置

yaml

# istio-operator.yaml
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: istio-control-plane
  namespace: istio-system
spec:
  profile: default
  components:
    pilot:
      k8s:
        resources:
          requests:
            cpu: 500m
            memory: 512Mi
          limits:
            cpu: 1000m
            memory: 1024Mi
    ingressGateways:
    - name: istio-ingressgateway
      enabled: true
      k8s:
        resources:
          requests:
            cpu: 200m
            memory: 400Mi
          limits:
            cpu: 500m
            memory: 1024Mi
        service:
          type: LoadBalancer
  values:
    global:
      proxy:
        resources:
          requests:
            cpu: 100m
            memory: 128Mi
          limits:
            cpu: 500m
            memory: 128Mi
      jwtPolicy: third-party-jwt
    pilot:
      autoscaleEnabled: true
      autoscaleMin: 2
      autoscaleMax: 5
    telemetry:
      enabled: true

应用自定义配置

bash

istioctl install -f istio-operator.yaml -y

5. 验证Istio安装

部署示例应用

bash

# 部署Bookinfo示例应用
kubectl apply -f samples/bookinfo/platform/kube/bookinfo.yaml

# 检查应用部署
kubectl get pods

# 检查服务
kubectl get services

# 为应用创建Ingress Gateway
kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml

# 检查Gateway
kubectl get gateway

# 检查VirtualService
kubectl get virtualservice

访问应用

bash

# 获取Ingress Gateway IP
export INGRESS_HOST=$(kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
export INGRESS_PORT=$(kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
export GATEWAY_URL=$INGRESS_HOST:$INGRESS_PORT

# 访问应用
echo "http://$GATEWAY_URL/productpage"
curl -s http://$GATEWAY_URL/productpage | grep -o "<title>.*</title>"

6. Istio卸载

使用istioctl卸载

bash

# 卸载Istio
istioctl uninstall -y --purge

# 删除Istio命名空间
kubectl delete namespace istio-system

# 删除Istio CRD
kubectl delete crd -l istio.io/rev=default

使用Helm卸载

bash

# 卸载Ingress Gateway
helm uninstall istio-ingressgateway -n istio-system

# 卸载Istiod
helm uninstall istiod -n istio-system

# 删除命名空间
kubectl delete namespace istio-system

流量管理配置

1. VirtualService配置

基本路由配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: web-app
  namespace: default
spec:
  hosts:
  - web-app.default.svc.cluster.local
  - web-app.example.com
  gateways:
  - web-app-gateway
  http:
  - route:
    - destination:
        host: web-app
        port:
          number: 8080

基于权重的路由（灰度发布）

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: web-app
  namespace: default
spec:
  hosts:
  - web-app.default.svc.cluster.local
  http:
  - route:
    - destination:
        host: web-app
        subset: v1
      weight: 90
    - destination:
        host: web-app
        subset: v2
      weight: 10

基于请求内容的路由

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: web-app
  namespace: default
spec:
  hosts:
  - web-app.default.svc.cluster.local
  http:
  - match:
    - headers:
        user-agent:
          regex: .*Chrome.*
      route:
      - destination:
          host: web-app
          subset: v2
  - route:
    - destination:
        host: web-app
        subset: v1

基于路径的路由

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: api-gateway
  namespace: default
spec:
  hosts:
  - api.example.com
  gateways:
  - api-gateway
  http:
  - match:
    - uri:
        prefix: /api/users
      route:
      - destination:
          host: user-service
          port:
            number: 8080
  - match:
    - uri:
        prefix: /api/orders
      route:
      - destination:
          host: order-service
          port:
            number: 8080
  - route:
    - destination:
        host: default-service
        port:
          number: 8080

2. DestinationRule配置

负载均衡配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: web-app
  namespace: default
spec:
  host: web-app
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2
  trafficPolicy:
    loadBalancer:
      simple: ROUND_ROBIN  # 轮询
      # simple: LEAST_CONN  # 最少连接
      # simple: RANDOM    # 随机

熔断配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: web-app
  namespace: default
spec:
  host: web-app
  subsets:
  - name: v1
    labels:
      version: v1
  trafficPolicy:
    connectionPool:
      tcp:
        maxConnections: 100
        connectTimeout: 30ms
      http:
        http1MaxPendingRequests: 100
        maxRequestsPerConnection: 10
    outlierDetection:
      consecutive5xxErrors: 5
      interval: 10s
      baseEjectionTime: 30s
      maxEjectionPercent: 50

端口级配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: multi-port-service
  namespace: default
spec:
  host: multi-port-service
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 8080
      loadBalancer:
        simple: ROUND_ROBIN
    - port:
        number: 9090
      loadBalancer:
        simple: LEAST_CONN

3. Gateway配置

基本Gateway配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: web-app-gateway
  namespace: default
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - web-app.example.com
    - api.example.com

HTTPS Gateway配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: secure-gateway
  namespace: default
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    hosts:
    - secure.example.com
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key

多端口Gateway配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: multi-port-gateway
  namespace: default
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*
  - port:
      number: 443
      name: https
      protocol: HTTPS
    hosts:
    - secure.example.com
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key

4. 流量控制配置

速率限制配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: rate-limit
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: GATEWAY
      listener:
        portNumber: 80
        filterChain:
          filter:
            name: envoy.filters.network.http_connection_manager
            subFilter:
              name: envoy.filters.http.router
    patch:
      operation: INSERT_BEFORE
      value:
        name: envoy.filters.http.local_ratelimit
        typed_config:
          '@type': type.googleapis.com/envoy.extensions.filters.http.local_ratelimit.v3.LocalRateLimit
          stat_prefix: http_local_rate_limit
          token_bucket:
            max_tokens: 100
            tokens_per_fill: 10
            fill_interval: 1s
          filter_enabled:
            runtime_key: local_rate_limit_enabled
            default_value:
              numerator: 100
              denominator: HUNDRED
          filter_enforced:
            runtime_key: local_rate_limit_enforced
            default_value:
              numerator: 100
              denominator: HUNDRED
          response_headers_to_add:
          - append: false
            header:
              key: x-local-rate-limit
              value: 'true'

重试策略

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: web-app
  namespace: default
spec:
  hosts:
  - web-app.default.svc.cluster.local
  http:
  - route:
    - destination:
        host: web-app
    retries:
      attempts: 3
      perTryTimeout: 2s
      retryOn: 5xx,connect-failure,refused-stream

超时设置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: web-app
  namespace: default
spec:
  hosts:
  - web-app.default.svc.cluster.local
  http:
  - route:
    - destination:
        host: web-app
    timeout: 5s

安全配置

1. mTLS配置

全局mTLS启用

yaml

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: istio-control-plane
  namespace: istio-system
spec:
  meshConfig:
    enableAutoMtls: true
    defaultConfig:
      proxy:
        autoInject: enabled

命名空间级mTLS策略

yaml

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: default
spec:
  mtls:
    mode: STRICT  # 严格模式，只允许mTLS通信
    # mode: PERMISSIVE  # 允许mTLS和明文通信
    # mode: DISABLE  # 禁用mTLS

服务级mTLS策略

yaml

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: web-app-auth
  namespace: default
spec:
  selector:
    matchLabels:
      app: web-app
  mtls:
    mode: STRICT

2. 授权策略

基本授权策略

yaml

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: web-app-authz
  namespace: default
spec:
  selector:
    matchLabels:
      app: web-app
  rules:
  - from:
    - source:
        principals:
        - cluster.local/ns/default/sa/web-app-sa
    to:
    - operation:
        methods:
        - GET
        - POST
        paths:
        - /api/*

允许所有访问

yaml

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-all
  namespace: default
spec:
  rules:
  - {}  # 空规则表示允许所有访问

拒绝所有访问

yaml

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-all
  namespace: default
spec:
  {}  # 空策略表示拒绝所有访问

3. 认证策略

JWT认证

yaml

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: jwt-auth
  namespace: default
spec:
  selector:
    matchLabels:
      app: web-app
  jwtRules:
  - issuer: "https://accounts.google.com"
    jwksUri: "https://www.googleapis.com/oauth2/v3/certs"
    fromHeaders:
    - name: Authorization
      prefix: "Bearer "

结合授权策略的JWT认证

yaml

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: jwt-authz
  namespace: default
spec:
  selector:
    matchLabels:
      app: web-app
  rules:
  - from:
    - source:
        requestPrincipals:
        - "https://accounts.google.com/*"
    to:
    - operation:
        methods:
        - GET
        - POST

4. 网络策略

基本网络策略

yaml

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: web-app-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: web-app
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: api-gateway
    ports:
    - protocol: TCP
      port: 8080
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: database
    ports:
    - protocol: TCP
      port: 3306

可观测性配置

1. 指标收集

Prometheus配置

yaml

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: istio-services
  namespace: monitoring
spec:
  selector:
    matchLabels:
      app: istio-ingressgateway
  namespaceSelector:
    matchNames:
    - istio-system
  endpoints:
  - port: prometheus
    interval: 15s

自定义指标配置

yaml

apiVersion: telemetry.istio.io/v1alpha1
kind: Telemetry
metadata:
  name: custom-metrics
  namespace: default
spec:
  metrics:
  - providers:
    - name: prometheus
    overrides:
    - match:
        metric: requests_total
      tagOverrides:
        destination_service:
          value: "{{destination.service.name}}"
        source_service:
          value: "{{source.service.name}}"

2. 分布式追踪

Jaeger配置

yaml

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: istio-control-plane
  namespace: istio-system
spec:
  addonComponents:
    jaeger:
      enabled: true
  values:
    jaeger:
      provider: jaeger
      jaeger:
        sampling:
          samplingRate: 0.1

追踪配置

yaml

apiVersion: telemetry.istio.io/v1alpha1
kind: Telemetry
metadata:
  name: tracing
  namespace: default
spec:
  tracing:
  - providers:
    - name: jaeger
    randomSamplingPercentage: 10.0
    customTags:
      environment:
        literal: "production"
      version:
        header:
          name: X-Version

3. 日志配置

访问日志配置

yaml

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: istio-control-plane
  namespace: istio-system
spec:
  meshConfig:
    accessLogFile: /dev/stdout
    accessLogFormat: |
      [%START_TIME%] "%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%" %RESPONSE_CODE% %RESPONSE_FLAGS% %RESPONSE_DURATION%ms "%REQ(X-FORWARDED-FOR)%" "%REQ(USER-AGENT)%" "%REQ(X-REQUEST-ID)%" "%DYNAMIC_METADATA(istio.mesh_id)%" "%DYNAMIC_METADATA(istio.canonical_service)%"

自定义日志配置

yaml

apiVersion: telemetry.istio.io/v1alpha1
kind: Telemetry
metadata:
  name: logging
  namespace: default
spec:
  logs:
  - providers:
    - name: stdout
    match:
      mode: SERVER
    severity: info

4. 监控和告警

Prometheus告警规则

yaml

apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: istio-alerts
  namespace: monitoring
spec:
  groups:
  - name: istio
    rules:
    - alert: IstioServiceUnavailable
      expr: |
        istio_requests_total{response_code=~"5.."} / istio_requests_total > 0.05
      for: 5m
      labels:
        severity: warning
      annotations:
        summary: "Istio service error rate high"
        description: "Service {{ $labels.destination_service_name }} has error rate above 5%"

    - alert: IstioRequestLatency
      expr: |
        histogram_quantile(0.99, sum(rate(istio_request_duration_milliseconds_bucket[5m])) by (le, destination_service_name)) > 1000
      for: 5m
      labels:
        severity: warning
      annotations:
        summary: "Istio request latency high"
        description: "99th percentile latency for {{ $labels.destination_service_name }} is above 1s"

Grafana仪表板

yaml

apiVersion: grafana.integreatly.org/v1beta1
kind: GrafanaDashboard
metadata:
  name: istio-dashboard
  namespace: monitoring
spec:
  json: |
    {
      "annotations": {
        "list": [
          {
            "builtIn": 1,
            "datasource": "-- Grafana --",
            "enable": true,
            "hide": true,
            "iconColor": "rgba(0, 211, 255, 1)",
            "name": "Annotations & Alerts",
            "type": "dashboard"
          }
        ]
      },
      "editable": true,
      "gnetId": null,
      "graphTooltip": 0,
      "id": null,
      "links": [],
      "panels": [],
      "schemaVersion": 16,
      "style": "dark",
      "tags": ["istio"],
      "templating": {
        "list": []
      },
      "time": {
        "from": "now-6h",
        "to": "now"
      },
      "timepicker": {},
      "timezone": "",
      "title": "Istio Service Mesh",
      "uid": "istio-dashboard",
      "version": 1
    }

实际应用场景

1. 微服务架构治理

场景描述

应用：电商微服务系统
服务数量：10+微服务
需求：流量管理、安全通信、可观测性

部署架构

┌─────────────────────────────────────────────────────────────┐
│                        外部访问                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  客户端      │ -> │  Istio       │ -> │  API网关     │  │
│  │              │    │  Ingress     │    │              │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
│                                                            │
└─────────────────────────────────────────────────────────────┘
                             │
                             ↓
┌─────────────────────────────────────────────────────────────┐
│                        微服务层                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  产品服务    │ <- │  订单服务    │ <- │  用户服务    │  │
│  │              │    │              │    │              │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
│         │                   │                   │           │
│         ↓                   ↓                   ↓           │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  库存服务    │    │  支付服务    │    │  推荐服务    │  │
│  │              │    │              │    │              │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
└─────────────────────────────────────────────────────────────┘
                             │
                             ↓
┌─────────────────────────────────────────────────────────────┐
│                        数据层                                │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  MySQL       │    │  Redis       │    │  Elasticsearch ││
│  │              │    │              │    │              │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
└─────────────────────────────────────────────────────────────┘

配置示例

API网关配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: api-gateway
  namespace: default
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - api.example.com

---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: api-gateway
  namespace: default
spec:
  hosts:
  - api.example.com
  gateways:
  - api-gateway
  http:
  - match:
    - uri:
        prefix: /api/users
      route:
      - destination:
          host: user-service
          port:
            number: 8080
  - match:
    - uri:
        prefix: /api/orders
      route:
      - destination:
          host: order-service
          port:
            number: 8080
  - match:
    - uri:
        prefix: /api/products
      route:
      - destination:
          host: product-service
          port:
            number: 8080
  - route:
    - destination:
        host: default-service
        port:
          number: 8080

服务间通信安全

yaml

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: default
spec:
  mtls:
    mode: STRICT

---
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: service-to-service
  namespace: default
spec:
  selector:
    matchLabels:
      app: microservice
  rules:
  - from:
    - source:
        principals:
        - cluster.local/ns/default/sa/*
    to:
    - operation:
        methods:
        - GET
        - POST
        - PUT
        - DELETE
        paths:
        - /api/*

流量管理

yaml

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: user-service
  namespace: default
spec:
  host: user-service
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2
  trafficPolicy:
    loadBalancer:
      simple: ROUND_ROBIN
    connectionPool:
      tcp:
        maxConnections: 100
      http:
        http1MaxPendingRequests: 100
        maxRequestsPerConnection: 10
    outlierDetection:
      consecutive5xxErrors: 5
      interval: 10s
      baseEjectionTime: 30s

---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: user-service
  namespace: default
spec:
  hosts:
  - user-service
  http:
  - route:
    - destination:
        host: user-service
        subset: v1
      weight: 90
    - destination:
        host: user-service
        subset: v2
      weight: 10

可观测性配置

yaml

apiVersion: telemetry.istio.io/v1alpha1
kind: Telemetry
metadata:
  name: microservices-telemetry
  namespace: default
spec:
  metrics:
  - providers:
    - name: prometheus
  tracing:
  - providers:
    - name: jaeger
    randomSamplingPercentage: 1.0
  logs:
  - providers:
    - name: stdout

2. 多集群服务管理

场景描述

集群：2个Kubernetes集群（生产和灾备）
需求：跨集群服务通信、统一服务发现、故障转移

部署架构

┌─────────────────────────────────────────────────────────────┐
│                     集群A (生产)                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  Istio       │ <- │  服务A       │ <- │  服务B       │  │
│  │  Control     │    │              │    │              │  │
│  │  Plane       │    └──────────────┘    └──────────────┘  │
│  └──────────────┘                                         │
└─────────────────────────────────────────────────────────────┘
                             │
                             │ 多集群控制平面
                             ↓
┌─────────────────────────────────────────────────────────────┐
│                     集群B (灾备)                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  Istio       │ <- │  服务A       │ <- │  服务B       │  │
│  │  Control     │    │              │    │              │  │
│  │  Plane       │    └──────────────┘    └──────────────┘  │
│  └──────────────┘                                         │
└─────────────────────────────────────────────────────────────┘

配置示例

多集群Istio安装

bash

# 集群A安装
istioctl install --set values.global.multiCluster.enabled=true --set values.global.network=network1 -y

# 集群B安装
istioctl install --set values.global.multiCluster.enabled=true --set values.global.network=network1 -y

# 配置集群间通信
istioctl x create-remote-secret --name=clusterA | kubectl apply -f -
istioctl x create-remote-secret --name=clusterB | kubectl apply -f -

服务发现配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: cross-cluster-services
  namespace: default
spec:
  hosts:
  - serviceB.clusterB.svc.cluster.local
  addresses:
  - 10.100.0.0/24
  ports:
  - number: 8080
    name: http
    protocol: HTTP
  location: MESH_INTERNAL
  resolution: DNS

跨集群流量路由

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: cross-cluster-routing
  namespace: default
spec:
  hosts:
  - serviceB.example.com
  http:
  - route:
    - destination:
        host: serviceB.clusterA.svc.cluster.local
        port:
          number: 8080
      weight: 80
    - destination:
        host: serviceB.clusterB.svc.cluster.local
        port:
          number: 8080
      weight: 20

3. 混合云服务集成

场景描述

环境：私有云和公有云混合部署
需求：跨云服务通信、统一安全策略、流量管理

部署架构

┌─────────────────────────────────────────────────────────────┐
│                     私有云                                     │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  Istio       │ <- │  内部服务    │ <- │  数据库      │  │
│  │  Control     │    │              │    │              │  │
│  │  Plane       │    └──────────────┘    └──────────────┘  │
│  └──────────────┘                                         │
└─────────────────────────────────────────────────────────────┘
                             │
                             │ 混合云连接
                             ↓
┌─────────────────────────────────────────────────────────────┐
│                     公有云                                     │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  Istio       │ <- │  外部服务    │ <- │  云服务      │  │
│  │  Control     │    │              │    │              │  │
│  │  Plane       │    └──────────────┘    └──────────────┘  │
│  └──────────────┘                                         │
└─────────────────────────────────────────────────────────────┘

配置示例

混合云Istio配置

yaml

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: istio-control-plane
  namespace: istio-system
spec:
  profile: default
  meshConfig:
    enableAutoMtls: true
    defaultConfig:
      proxy:
        autoInject: enabled
  components:
    pilot:
      k8s:
        resources:
          requests:
            cpu: 500m
            memory: 512Mi
          limits:
            cpu: 1000m
            memory: 1024Mi
  values:
    global:
      meshID: mesh1
      multiCluster:
        enabled: true
      network: network1

服务集成配置

yaml

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: cloud-service
  namespace: default
spec:
  hosts:
  - api.cloud-provider.com
  ports:
  - number: 443
    name: https
    protocol: HTTPS
  location: MESH_EXTERNAL
  resolution: DNS
  tls:
    mode: SIMPLE
    serverName: api.cloud-provider.com

---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: cloud-service-routing
  namespace: default
spec:
  hosts:
  - api.cloud-provider.com
  http:
  - route:
    - destination:
        host: api.cloud-provider.com
        port:
          number: 443
    timeout: 30s
    retries:
      attempts: 3
      perTryTimeout: 10s

4. 服务迁移和现代化

场景描述

迁移：从传统单体应用迁移到微服务
需求：渐进式迁移、流量管理、服务版本控制

部署架构

┌─────────────────────────────────────────────────────────────┐
│                        流量管理                              │
│                                                            │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐  │
│  │  客户端      │ -> │  Istio       │ -> │  流量路由    │  │
│  │              │    │  Ingress     │    │              │  │
│  └──────────────┘    └──────────────┘    └──────────────┘  │
│                                                            │
└─────────────────────────────────────────────────────────────┘
                             │
               ┌─────────────┴─────────────┐
               │                           │
┌─────────────────────────┐     ┌─────────────────────────┐
│     传统单体应用            │     │     微服务架构            │
│                         │     │                         │
│  ┌──────────────┐       │     │  ┌──────────────┐       │
│  │  单体应用    │       │     │  │  微服务A     │       │
│  │              │       │     │  │              │       │
│  └──────────────┘       │     │  └──────────────┘       │
│                         │     │                         │
└─────────────────────────┘     └─────────────────────────┘

配置示例

渐进式流量迁移

yaml

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: application-migration
  namespace: default
spec:
  hosts:
  - app.example.com
  gateways:
  - app-gateway
  http:
  - route:
    - destination:
        host: legacy-app
        port:
          number: 8080
      weight: 70
    - destination:
        host: microservice-app
        port:
          number: 8080
      weight: 30

服务版本管理

yaml

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: microservice-app
  namespace: default
spec:
  host: microservice-app
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2

---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: microservice-versioning
  namespace: default
spec:
  hosts:
  - microservice-app
  http:
  - route:
    - destination:
        host: microservice-app
        subset: v1
      weight: 90
    - destination:
        host: microservice-app
        subset: v2
      weight: 10

最佳实践

1. 部署策略

渐进式部署

步骤1：在测试环境中部署Istio
步骤2：选择非关键服务进行试点
步骤3：逐步扩展到更多服务
步骤4：监控性能和稳定性
步骤5：全面部署到生产环境

资源规划

控制平面：
- CPU：1-2核
- 内存：1-2GB
- 存储：10GB
数据平面（每个Pod）：
- CPU：100-500m
- 内存：128-256MB

部署模式

单集群部署：适用于小型环境
多集群部署：适用于大型企业环境
混合云部署：适用于跨云环境

2. 资源优化

Sidecar资源配置

yaml

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: istio-control-plane
  namespace: istio-system
spec:
  values:
    global:
      proxy:
        resources:
          requests:
            cpu: 100m
            memory: 128Mi
          limits:
            cpu: 500m
            memory: 256Mi

自动注入策略

命名空间级注入：为整个命名空间启用
标签级注入：为特定Pod启用
手动注入：对特定应用手动注入

资源使用监控

Prometheus监控：监控Sidecar资源使用
告警配置：设置资源使用告警
自动扩缩容：根据负载自动调整

3. 安全配置

mTLS最佳实践

逐步启用：从PERMISSIVE模式开始
命名空间隔离：为不同环境设置不同策略
定期轮换：配置证书自动轮换

授权策略

默认拒绝：先拒绝所有访问
最小权限：只授予必要的访问权限
分层策略：从命名空间到服务级别的策略

网络安全

网络策略：限制Pod间通信
Ingress控制：控制外部访问
Egress控制：控制服务外发流量

4. 监控和告警

关键指标监控

请求成功率：istio_requests_total{response_code=~"5.."} / istio_requests_total
请求延迟：histogram_quantile(0.99, sum(rate(istio_request_duration_milliseconds_bucket[5m])) by (le))
Sidecar资源使用：container_cpu_usage_seconds_total{pod=~"*-istio-proxy"}
服务依赖关系：istio_tcp_connections_opened_total

告警配置

yaml

apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: istio-alerts
  namespace: monitoring
spec:
  groups:
  - name: istio
    rules:
    - alert: IstioServiceErrorRate
      expr: |
        sum(rate(istio_requests_total{response_code=~"5.."}[5m])) by (destination_service_name) / sum(rate(istio_requests_total[5m])) by (destination_service_name) > 0.05
      for: 5m
      labels:
        severity: warning
      annotations:
        summary: "Istio service error rate high"
        description: "Service {{ $labels.destination_service_name }} has error rate above 5%"

    - alert: IstioRequestLatency
      expr: |
        histogram_quantile(0.99, sum(rate(istio_request_duration_milliseconds_bucket[5m])) by (le, destination_service_name)) > 1000
      for: 5m
      labels:
        severity: warning
      annotations:
        summary: "Istio request latency high"
        description: "99th percentile latency for {{ $labels.destination_service_name }} is above 1s"

    - alert: IstioSidecarResourceUsage
      expr: |
        sum(rate(container_cpu_usage_seconds_total{pod=~"*-istio-proxy"}[5m])) by (pod) > 0.5
      for: 10m
      labels:
        severity: warning
      annotations:
        summary: "Istio sidecar CPU usage high"
        description: "Sidecar proxy {{ $labels.pod }} CPU usage above 500m"

分布式追踪

采样率配置：生产环境使用低采样率
自定义标签：添加业务相关标签
与日志集成：将追踪ID与日志关联

5. 性能优化

流量管理优化

连接池配置：合理设置连接池大小
负载均衡策略：根据服务特性选择
超时设置：避免长连接占用资源
重试策略：避免级联故障

Sidecar优化

资源限制：合理设置资源请求和限制
自动注入：只对必要的Pod注入
代理配置：优化代理参数
健康检查：配置合适的健康检查

控制平面优化

水平扩展：根据集群大小扩展控制平面
资源配置：为控制平面分配足够资源
缓存配置：优化缓存策略
垃圾回收：配置合理的垃圾回收策略

常见问题

1. 性能影响

症状

服务响应时间增加
Sidecar资源使用过高
网络延迟增加

解决方案

优化资源配置：为Sidecar分配足够资源
调整采样率：降低分布式追踪采样率
连接池优化：合理设置连接池参数
选择性注入：只对必要的服务注入Sidecar
监控性能：定期监控和优化

2. 配置复杂性

症状

配置错误导致服务不可用
策略冲突
难以调试和排查

解决方案

模块化配置：将配置分解为多个小文件
版本控制：使用Git管理配置
配置验证：使用istioctl验证配置
渐进式配置：逐步应用配置变更
文档化：详细记录配置变更

3. 故障排查

常见问题

服务间通信失败
Sidecar注入失败
流量路由错误
安全策略冲突

排查步骤

检查Sidecar状态：kubectl get pods
查看Sidecar日志：kubectl logs <pod-name> -c istio-proxy
检查配置：istioctl analyze
验证服务发现：kubectl get endpoints
检查网络策略：kubectl get networkpolicy
查看Istio状态：istioctl ps
检查监控指标：Prometheus查询

4. 版本兼容性

症状

升级后服务不可用
配置格式变更
依赖冲突

解决方案

版本规划：制定详细的升级计划
测试环境：在测试环境验证升级
滚动升级：使用滚动升级策略
备份配置：升级前备份配置
回滚策略：准备回滚方案

5. 服务发现问题

症状

服务无法发现
服务间通信失败
负载均衡异常

解决方案

检查服务注册：kubectl get services
验证Endpoints：kubectl get endpoints
检查DNS配置：kubectl run -it --rm --image=busybox:1.28.4 -- nslookup <service-name>
验证网络连通性：kubectl exec -it <pod-name> -- ping <service-name>
检查Sidecar状态：istioctl proxy-status

6. 安全配置问题

症状

mTLS配置错误
授权策略冲突
认证失败

解决方案

验证mTLS配置：istioctl authn tls-check
检查授权策略：kubectl get authorizationpolicy
验证JWT配置：istioctl authn jwt-check
查看安全事件：kubectl get events
测试访问权限：使用curl测试服务访问

7. 监控和可观测性问题

症状

指标收集失败
分布式追踪丢失
日志不完整

解决方案

检查Prometheus配置：kubectl get servicemonitor
验证Jaeger配置：kubectl get pods -n istio-system | grep jaeger
检查日志配置：kubectl get telemetry
测试指标采集：curl <pod-ip>:15020/stats/prometheus
验证追踪采样：检查Jaeger UI中的追踪数据

总结

核心价值

服务网格为现代微服务架构提供了关键的基础设施支持，其核心价值包括：

流量管理：提供细粒度的流量控制，支持灰度发布、A/B测试和故障注入
安全通信：自动mTLS加密、身份验证和授权，保障服务间通信安全
可观测性：全面的遥测、分布式追踪和日志管理，提高系统可观测性
简化开发：将通信逻辑从应用代码中分离，专注于业务逻辑开发
弹性能力：内置的熔断、重试、超时等机制，提高系统弹性

主要功能

智能路由：基于权重、请求内容、路径的流量路由
负载均衡：多种负载均衡算法，支持会话保持
安全防护：mTLS、授权策略、网络策略
可观测性：指标、追踪、日志的全面集成
故障处理：熔断、重试、超时、限流
多集群管理：跨集群服务通信和统一管理
混合云集成：跨环境服务治理

应用场景

微服务架构：管理复杂的服务间通信
多集群部署：统一管理多个Kubernetes集群
混合云环境：整合私有云和公有云服务
服务迁移：渐进式应用现代化
企业级应用：满足严格的安全和合规要求

未来发展

服务网格标准：Istio、Linkerd等项目的标准化和互操作性
性能优化：进一步降低Sidecar的性能开销
自动化运维：智能运维和自动故障修复
边缘计算：扩展到边缘设备和边缘集群
AI集成：利用AI进行流量预测和智能路由

下一步学习

实践项目

基础实践：
- 部署Istio并管理简单的微服务应用
- 配置流量管理和安全策略
- 实现服务监控和可观测性
进阶实践：
- 多集群服务网格部署
- 混合云服务集成
- 大规模服务网格性能优化
企业级实践：
- 服务网格在生产环境的最佳实践
- 服务网格与CI/CD集成
- 服务网格的安全合规实现

工具和生态

监控工具：Prometheus、Grafana、Jaeger
CI/CD集成：Jenkins、GitLab CI、GitHub Actions
安全工具：Keycloak、Vault
性能测试：Locust、JMeter
配置管理：Helm、Flux、Argo CD

社区资源

Istio社区：Slack、GitHub、邮件列表
Kubernetes社区：服务网格特别兴趣小组
会议和活动：KubeCon、IstioCon
在线课程：Coursera、Udemy、edX

学习路径

基础阶段：理解服务网格概念和核心组件
实践阶段：部署和配置服务网格
进阶阶段：优化和故障排查
专家阶段：设计和架构服务网格解决方案

通过持续学习和实践，您将能够掌握服务网格技术，为现代微服务架构提供可靠的通信基础设施，实现更安全、更可观测、更弹性的系统架构。

服务网格 ​

概述 ​

服务网格的演进 ​

基本概念 ​

1. 核心组件 ​

数据平面（Data Plane） ​

控制平面（Control Plane） ​

2. 服务网格架构 ​

3. 服务网格与传统服务治理的区别 ​

4. 主流服务网格解决方案 ​

Istio ​

Linkerd ​

Consul Connect ​

核心特性 ​

1. 流量管理 ​

智能路由 ​

负载均衡 ​

流量控制 ​

2. 安全 ​

服务间安全通信 ​

安全策略 ​

3. 可观测性 ​

遥测 ​

监控和告警 ​

4. 自动注入和Sidecar模式 ​

Sidecar注入 ​

Sidecar配置 ​

工作原理 ​

1. 服务发现 ​

2. 流量处理 ​

3. 安全机制 ​

4. 可观测性实现 ​

应用场景 ​

1. 微服务架构治理 ​

2. 多集群服务管理 ​

3. 混合云服务集成 ​

4. 服务迁移和现代化 ​

Istio安装和配置 ​

1. 环境准备 ​

系统要求 ​

检查环境 ​

2. Istio安装方法 ​

使用istioctl安装（推荐） ​

使用Helm安装 ​

3. 配置Sidecar自动注入 ​

为命名空间启用自动注入 ​

手动注入Sidecar ​

4. Istio配置管理 ​

核心配置文件 ​

自定义Istio配置 ​

应用自定义配置 ​

5. 验证Istio安装 ​

部署示例应用 ​

访问应用 ​

6. Istio卸载 ​

使用istioctl卸载 ​

使用Helm卸载 ​

流量管理配置 ​

1. VirtualService配置 ​

基本路由配置 ​

基于权重的路由（灰度发布） ​

基于请求内容的路由 ​

基于路径的路由 ​

2. DestinationRule配置 ​

负载均衡配置 ​

熔断配置 ​

端口级配置 ​

3. Gateway配置 ​

基本Gateway配置 ​

HTTPS Gateway配置 ​

多端口Gateway配置 ​

4. 流量控制配置 ​

速率限制配置 ​

重试策略 ​

超时设置 ​

安全配置 ​

1. mTLS配置 ​

全局mTLS启用 ​

命名空间级mTLS策略 ​

服务级mTLS策略 ​

服务网格

概述

服务网格的演进

基本概念

1. 核心组件

数据平面（Data Plane）

控制平面（Control Plane）

2. 服务网格架构

3. 服务网格与传统服务治理的区别

4. 主流服务网格解决方案

Istio

Linkerd

Consul Connect

核心特性

1. 流量管理

智能路由

负载均衡

流量控制

2. 安全

服务间安全通信

安全策略

3. 可观测性

遥测

监控和告警

4. 自动注入和Sidecar模式

Sidecar注入

Sidecar配置

工作原理

1. 服务发现

2. 流量处理

3. 安全机制

4. 可观测性实现

应用场景

1. 微服务架构治理

2. 多集群服务管理

3. 混合云服务集成

4. 服务迁移和现代化

Istio安装和配置

1. 环境准备

系统要求

检查环境

2. Istio安装方法

使用istioctl安装（推荐）

使用Helm安装

3. 配置Sidecar自动注入

为命名空间启用自动注入

手动注入Sidecar

4. Istio配置管理

核心配置文件

自定义Istio配置

应用自定义配置

5. 验证Istio安装

部署示例应用

访问应用

6. Istio卸载

使用istioctl卸载

使用Helm卸载

流量管理配置

1. VirtualService配置

基本路由配置

基于权重的路由（灰度发布）

基于请求内容的路由

基于路径的路由

2. DestinationRule配置

负载均衡配置

熔断配置

端口级配置

3. Gateway配置

基本Gateway配置

HTTPS Gateway配置

多端口Gateway配置

4. 流量控制配置

速率限制配置

重试策略

超时设置

安全配置

1. mTLS配置

全局mTLS启用

命名空间级mTLS策略

服务级mTLS策略