Please enable JavaScript.

Coggle requires JavaScript to display documents.

istio, 通过网关的任何请求都将有两个连接 - Coggle Diagram

- - - - 动态准入 Webhook
        
        Kubernetes 准入控制机制
        准入 Webhook 是 HTTP 方式的回调，接收准入请求并对其进行相关操作
        
        Validating 准入 Webhook
        
        Mutating 准入 Webhook
        
        Istio 使用
        
        ValidatingAdmissionWebhooks 验证 Istio 配置
        
        使用 MutatingAdmissionWebhooks 自动将 Sidecar 代理注入至用户 Pod
        
        前置条件
        
        验证当前使用正确的 kubectl 和 Kubernetes 服务支持的版本(1.22, 1.23, 1.24, 1.25)
        kubectl version --short
        
        admissionregistration.k8s.io/v1beta1 应是启用状态
        kubectl api-versions | grep admissionregistration.k8s.io/v1
        
        验证 kube-apiserver --enable-admission-plugins 配置中插件 MutatingAdmissionWebhook 和 ValidatingAdmissionWebhook 是否被启用。
        
        验证 Kubernetes API Server 与 Webhook 所在 Pod 的网络连通是否正常
      - 等待应用的配置资源状态就绪
        
        设置 status 的相关配置参数开启该功能
        
        istioctl install --set values.pilot.env.PILOT_ENABLE_STATUS=true --set values.pilot.env.PILOT_ENABLE_CONFIG_DISTRIBUTION_TRACKING=true --set values.global.istiod.enableAnalysis=true
        
        等待资源就绪
        
        kubectl apply -f samples/httpbin/httpbin.yaml
        kubectl apply -f samples/httpbin/httpbin-gateway.yaml
        kubectl wait --for=condition=Reconciled virtualservice/httpbin
      - Istio 服务的健康检查
        
        Kubernetes 存活和就绪探针
        
        命令
        
        HTTP 请求
        
        TCP 探针
        
        使用命令方式的存活和就绪探针
        
        使用 HTTP 或 TCP 方式的存活和就绪探针
    - - 理解 TLS 配置
        
        Sidecars
        
        内部入站流量
        
        流量会保持原样转发
        
        外部入站流量
        
        Sidecar 默认配置 PERMISSIVE （宽容）模式：接受 mTLS 和 non-mTLS 的流量
        
        该模式能够变更为 STRICT （严格）模式，该模式下的流量流量必须是 mTLS；
        
        或者变更为 DISABLE （禁用）模式，该模式下的流量必须为明文。
        
        mTLS 模式使用 PeerAuthentication 资源配置
        
        内部出站流量
        
        如果自动选择协议已开启，Istio 将能够自动地选择协议
        
        否则您可以在目标服务内使用端口名手动指定协议
        
        外部出站流量
        
        原样转发
        
        这可以通过 DestinationRule 资源中的 trafficPolicy 来控制使用的 TLS 模式
        
        也可以启动一个 TLS 连接（mTLS 或者标准 TLS
        
        模式设置为 DISABLE 将发生明文，而 SIMPLE，MUTUAL，和 ISTIO_MUTUAL 模式将会发起一个 TLS 连接
        
        自动 mTLS
        
        DestinationRule 控制传出流量是否使用 mTLS
        
        Istio 通过名为“自动 mTLS”的功能使得配置更改容易
        这意味着没有任何配置，所有网格内部的流量将会被 mTLS 加密
        
        网关
        
        入站请求由客户端发起
        下游 downstream
        
        出站请求由网关向某个后端发起
        上游 upstream
      - 地域负载均衡
      - DNS 代理
      - 协议选择
        
        手动协议选择
        
        协议可以在 Service 定义中手动指定
        
        通过端口名称配置：name: <protocol>[-<suffix>]
        
        在版本 1.18+ 的Kubernetes，通过 appProtocol 字段配置：appProtocol: <protocol>
        
        自动协议选择
        
        Istio 可以自动检测出 HTTP 和 HTTP/2 流量。如果未自动检测出协议，流量将会视为普通 TCP 流量。
      - 配置 Gateway 网络拓扑
      - 多集群流量管理