Kubernetes Egress 流量服务

    这部分内容表明这些访问外部服务的 Kubernetes 机制在 Istio 中依然有效。您只需要配置使用 TLS 模式即可，并不需要 Istio 的双向 TLS。因为外部服务不是 Istio 服务网格的一部分，所以它们无法执行 Istio 的双向 TLS。您在配置 TLS 模式时，一要按照外部服务的 TLS 模式的要求、二要遵从您的工作负载访问外部服务的方式。当您的工作负载发起的是 HTTP 请求但是外部服务需要 TLS，你可以通过 Istio 发起 TLS。当您的工作负载已经使用 TLS 来加密流量，您可以禁用 Istio 的双向 TLS。

    本页介绍 Istio 如何与现有 Kubernetes 配置集成。对于新部署，我们建议 遵循。

    虽然此部分的示例使用 HTTP 协议，但是用于引导出口流量的 Kubernetes 服务也可以与其他协议一起使用。

    • 按照安装指南中的说明安装 Istio。

      如果您安装demo的，则将启用 Egress Gateway和访问日志。

    • 将 sleep 示例应用程序部署为发送请求的测试源。 如果您启用了，运行以下命令部署示例应用程序：

      Zip

      否则，在使用以下命令部署 sleep 应用程序之前，手动注入 sidecar：

      1. $ kubectl apply -f <(istioctl kube-inject -f @samples/sleep/sleep.yaml@)

      您可以使用任何安装了 curl 的 pod 作为测试源。

      1. $ export SOURCE_POD=$(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name})

    • 为没有 Istio 控制的源 pod 创建一个命名空间：

      1. $ kubectl create namespace without-istio

    • 启动 sleep 在命名空间 without-istio 中的事例。

      1. $ kubectl apply -f @samples/sleep/sleep.yaml@ -n without-istio

    • 发送请求，创建环境变量 SOURCE_POD_WITHOUT_ISTIO 来保存源 pod 的名称：

      1. $ export SOURCE_POD_WITHOUT_ISTIO=$(kubectl get pod -n without-istio -l app=sleep -o jsonpath={.items..metadata.name})

    • 验证是否未注入 Istio Sidecar，即 pod 中有一个容器：

      1. $ kubectl get pod $SOURCE_POD_WITHOUT_ISTIO -n without-istio
      2. NAME                     READY   STATUS    RESTARTS   AGE
      3. sleep-66c8d79ff5-8tqrl   1/1     Running   0          32s

    1. 在默认命名空间中，为 httpbin.org 创建一个 Kubernetes ExternalName 服务：

      1. $ kubectl apply -f - <<EOF
      2. kind: Service
      3. apiVersion: v1
      4. metadata:
      5.   name: my-httpbin
      6. spec:
      7.   type: ExternalName
      8.   externalName: httpbin.org
      9.   ports:
      10.   - name: http
      11.     protocol: TCP
      12.     port: 80
      13. EOF

    2. 观察您的服务。注意它没有集群 IP。

    3. 从没有 Istio Sidecar 的源 pod 通过 Kubernetes 服务的主机名访问 httpbin.org。注意下面的 curl 命令使用 ：<service name>.<namespace>.svc.cluster.local。

      1. $ kubectl exec -it $SOURCE_POD_WITHOUT_ISTIO -n without-istio -c sleep -- curl my-httpbin.default.svc.cluster.local/headers
      2. {
      3.   "headers": {
      4.     "Accept": "*/*",
      5.     "Host": "my-httpbin.default.svc.cluster.local",
      6.     "User-Agent": "curl/7.55.0"
      7.   }
      8. }

    4. 通过带有 Istio Sidecar 的源 pod 通过 Kubernetes 服务的主机名访问 httpbin.org。注意 Istio Sidecar 添加的 headers，例如，X-Istio-Attributes 和 X-Envoy-Decorator-Operation。另请注意 Host header 等于您的服务的主机名。

      1. $ kubectl exec "$SOURCE_POD" -c sleep -- curl -sS my-httpbin.default.svc.cluster.local/headers
      2. {
      3.   "headers": {
      4.     "Accept": "*/*",
      5.     "Content-Length": "0",
      6.     "Host": "my-httpbin.default.svc.cluster.local",
      7.     "User-Agent": "curl/7.64.0",
      8.     "X-B3-Sampled": "0",
      9.     "X-B3-Spanid": "5795fab599dca0b8",
      10.     "X-B3-Traceid": "5079ad3a4af418915795fab599dca0b8",
      11.     "X-Envoy-Decorator-Operation": "my-httpbin.default.svc.cluster.local:80/*",
      12.     "X-Envoy-Peer-Metadata": "...",
      13.     "X-Envoy-Peer-Metadata-Id": "sidecar~10.28.1.74~sleep-6bdb595bcb-drr45.default~default.svc.cluster.local"
      14.   }
      15. }
    1. $ kubectl delete destinationrule my-httpbin
    2. $ kubectl delete service my-httpbin
      1. $ kubectl apply -f - <<EOF
      2. kind: Service
      3. apiVersion: v1
      4. metadata:
      5.   name: my-wikipedia
      6. spec:
      7.   ports:
      8.   - protocol: TCP
      9.     port: 443
      10.     name: tls
      11. EOF

    2. 为您的服务创建 endpoints。从 Wikipedia 范围列表中选择几个 IP。

      1. $ kubectl apply -f - <<EOF
      2. kind: Endpoints
      3. apiVersion: v1
      4.   name: my-wikipedia
      5. subsets:
      6.   - addresses:
      8.       - ip: 198.35.26.96
      9.     ports:
      10.       - port: 443
      11.         name: tls
      12. EOF

    3. 观察您的服务。请注意，它具有一个群集 IP，您可以使用它访问 wikipedia.org。

      1. $ kubectl get svc my-wikipedia
      2. NAME           TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)   AGE
      3. my-wikipedia   ClusterIP   172.21.156.230   <none>        443/TCP   21h

    4. 从没有 Istio sidecar 的源 Pod 通过您的向您的 Kubernetes 服务集群 IP 来发送 HTTPS 请求到 wikipedia.org。使用 curl 的 --resolve 选项通过集群 IP 访问 wikipedia.org：

    5. 在这种情况下，工作负载将 HTTPS 请求（开放 TLS 连接）发送到 wikipedia.org。流量已经通过工作负载加密，因此您可以安全地禁用 Istio 的双向 TLS：

      1. $ kubectl apply -f - <<EOF
      2. apiVersion: networking.istio.io/v1alpha3
      3. kind: DestinationRule
      4. metadata:
      5.   name: my-wikipedia
      6. spec:
      7.   host: my-wikipedia.default.svc.cluster.local
      8.   trafficPolicy:
      9.     tls:
      10.       mode: DISABLE
      11. EOF

    6. 使用 Istio Sidecar 从源 Pod 中通过 Kubernetes 服务的群集 IP 访问 wikipedia.org：

      1. $ kubectl exec -it $SOURCE_POD -c sleep -- curl -s --resolve en.wikipedia.org:443:$(kubectl get service my-wikipedia -o jsonpath='{.spec.clusterIP}') https://en.wikipedia.org/wiki/Main_Page | grep -o "<title>.*</title>"
      2. <title>Wikipedia, the free encyclopedia</title>

    7. 检查访问是否确实由群集 IP 完成。在 curl -v 的输出中注意这句话 Connected to en.wikipedia.org (172.21.156.230)，其中提到了在您的服务输出中作为群集 IP 打印的 IP。

      1. $ kubectl exec -it $SOURCE_POD -c sleep -- curl -v --resolve en.wikipedia.org:443:$(kubectl get service my-wikipedia -o jsonpath='{.spec.clusterIP}') https://en.wikipedia.org/wiki/Main_Page -o /dev/null
      2. * Added en.wikipedia.org:443:172.21.156.230 to DNS cache
      3. * Hostname en.wikipedia.org was found in DNS cache
      4. *   Trying 172.21.156.230...
      5. * TCP_NODELAY set
      6. * Connected to en.wikipedia.org (172.21.156.230) port 443 (#0)
      7. ...

    清理没有 endpoints 的 Kubernetes 服务

    1. $ kubectl delete destinationrule my-wikipedia
    2. $ kubectl delete endpoints my-wikipedia
    3. $ kubectl delete service my-wikipedia

    1. 停止服务 sleep：

      1. $ kubectl delete -f @samples/sleep/sleep.yaml@

    2. 停止命名空间 without-istio 中的服务 sleep：

      1. $ kubectl delete -f @samples/sleep/sleep.yaml@ -n without-istio

      1. 注销环境变量：