Copyright © 2021 Cloud To Go. 让企业都能高效创新 SolarMesh 基于Istio构建的流量监管平台 Copyright © 2021 Cloud To Go Copyright © 2021 Cloud To Go 目录 1. 为什么我们需要服务网格 2. SolarMesh的定位 3. SolarMesh的特点 4. SolarMesh 对Istio社区的产品化改进 侵入的 情况下提供可观察性、流量管理和安全性等能力。 Copyright © 2021 Cloud To Go SolarMesh的定位 - 基于Istio构建的流量监管平台 Istio是目前服务网格领域最流行的开源项目，38% 的企业在生产中使用服务网格，其中有接近一半的 选择是Istio SolarMesh 基于 Istio 及容器技术，提供流量监控 和管理，提供完善的非侵入式服务治理解决方案。 传统的故障定位方式 使用solarmesh的故障定位方式 1. 发现页面报错 2. F12看接口 3. 从网关开始，顺着调用链看日志 4. 日志没报错，下一个 5. 循环 4 6. 直到找到故障位置 1. 流量告警 / 发现页面报错 2. 看图 3. 直接找到故障位置 Copyright © 2021 Cloud To Go 应用场景 - 灰度版本迁移 传统的版本升级方式 使用solarmesh的版本升级方式

Istio 流量管理原理与协议扩展 赵化冰 赵化冰 腾讯云 服务网格团队 https://zhaohuabing.com Service Mesh Service Mesh Layer 处理服务间通信（主要是七层通信）的云原生基础设施层： Service Mesh 将各个服务中原来使用 SDK 实现的七层通信相关功能抽象 出来，使用一个专用层次来实现，Service Mesh 对应用透明，因此应用 专注于其业务价值。 流量控制：服务发现、请求路由、负载均衡、灰度发布、错误重试、 断路器、故障注入 可观察性：遥测数据、调用跟踪、服务拓扑 通信安全： 服务身份认证、访问鉴权、通信加密 Proxy Application Layer Service 1 Istio 流量管理 – 概览 • 控制面下发流量规则： Pilot • 数据面标准协议：xDS • 集群内Pod流量出入： Sidecar • 集群外部流量入口：Ingress Gateway • 集群外部流量出口：Egress Gateway（可选,在一个集中点对外部访问进行控制） • Service discovery • Load balancing • Time out • Retries • Circuit breaker • Routing • Auth • Telemetry collecting 外部流量出口 外部流量入口

APACHE APISIX的全流量API网关 温铭, 来自一家在远程工作方式下商业化开源项目的创业公司(支流科技), 担任CEO&联合创始人, Apache 顶级项目APISIX的PMC主席, Skywalking开源项目的贡献者(commiter)。在创业之前, 在360做企业安全, 360开源委员会的发起人, 腾讯的TVP, TARS基金会的TOC成员, 在安全领域有四十多个专利, 最近三年全 毫秒 • 运维友好：Prometheus， SkyWalking，流量复制，故障注入等 技术架构 Apache APISIX 能做什么？ • 处理 L4、L7 层流量：HTTP、HTTPS、TCP、UDP、MQTT、Dubbo、gRPC… • 替代 Nginx 处理南北向流量 • 替代 Envoy 处理服务间东西向流量 • k8s ingress controller • 借助 MQTT 性能（单核，开启两个限流和 prometheus插件） 18000 1700 支持流量量复制和故障 是 否 注⼊ 是 否 支持SkyWalking 是 否 插件热更新 新增、删除、更新插件不用 重载服务 无, 每次都需要重载 服务 二次开发 难度低 难度中等 本地技术支持 有, 1小时响应 无 定期巡检和培训 有 无 基于 Apache APISIX 的全流量网关 Nginx 遇到的挑战 • 社区不活跃：没有 github

Apache APISIX借助ServiceMesh 实现统一技术栈的全流量管理 金卫（API7 解决方案架构师） • 支流科技 - 解决方案架构师 • Apache APISIX PMC • Apache APISIX Ingress Controller Founder • Apache skywalking committer • Github: https://github.com/gxthrj 将通用能力下沉  应用专注于业务逻辑  注册发现  流量管理  可观测性  安全防护 服务网格的痛点  方案众多，各有缺陷  与基础设施整合成本高  性能损耗  资源的额外消耗  扩展难度高 理想的服务网格应该是什么样？ 易于扩展 理想的服务网格 业务无感知 落地成本低 动态且增量配置 安全管控 可观测 流量精细化管理 跨集群部署 性能损耗低 资源消耗低 按需下发配置 com/api7/amesh 下一个版本发布时间 12 月 未来展望 概览  APISIX Ingress处理南北向入口流量  APISIX Service Mesh处理东西向流量  APISIX专用插件配置等通过Amesh 下发 APISIX 全流量代理的价值  节约成本  统一技术栈  统一管理  复用技术经验 未来  结合APISIX xRPC实现  原生异构多协议支持

服务网格中管理任何七层流量 赵化冰@腾讯云 #IstioCon Huabing Zhao Software Engineer @ Tencent Cloud https://zhaohuabing.com @zhaohuabing @zhaohuabing @zhaohuabing @zhaohuabing #IstioCon Agenda ❏ Service Mesh 中的七层流量管理能力 中的七层流量管理能力 ❏ 几种扩展 Istio 流量管理能力的方法 ❏ Aeraki - 在 Isito 服务网格中管理所有七层流量 ❏ Demo - Dubbo Traffic Management ❏ MetaProtocol - Service Mesh 通用七层协议框架 #IstioCon Protocols in a Typical Microservice Application Service Security, Observability) #IstioCon What Do We Expect From a Service Mesh? 为了将基础设施的运维管理从应用代码中剥离，我们需要七层的流量管 理能力： ● Routing based on layer-7 header ○ Load balancing at requet level ○ HTTP host/header/url/method

18 章 章 配置集群入口流量 配置集群入口流量 18.1. 集群入口流量配置概述 18.2. 为服务配置 EXTERNALIP 18.3. 使用 INGRESS CONTROLLER 配置集群入口流量 18.4. 使用负载均衡器配置集群入口流量 18.5. 使用网络负载平衡器在 AWS 上配置集群入口流量 18.6. 为服务外部 IP 配置 INGRESS 集群流量 18.7. 使用 NODEPORT NODEPORT 配置集群入口流量 188 193 199 200 209 211 211 212 216 220 221 222 222 224 227 230 232 234 237 237 238 241 241 243 251 255 257 259 264 264 265 265 271 272 274 279 281 282 285 RHOSP 负载 负载均衡 均衡 22.1. 使用带有 KURYR SDN 的 OCTAVIA OVN 负载均衡器供应商驱动 22.2. 使用 OCTAVIA 为应用程序流量扩展集群 22.3. 使用 RHOSP OCTAVIA 为入站流量扩展 22.4. 配置外部负载均衡器 第 第 23 章 章 使用 使用 METALLB 进 进行 行负载 负载平衡 平衡 23.1. 关于 METALLB 和 METALLB

OpenShift Container Platform 4.6 网 网络 络 4 13.1.2. 支持的默认 CNI 网络供应商功能列表 13.2. 为项目配置出口 IP 13.2.1. 项目出口流量的出口 IP 地址分配 13.2.1.1. 使用自动分配的出口 IP 地址时的注意事项 13.2.1.2. 使用手动分配出口 IP 地址时的注意事项 13.2.2. 为一个命名空间启用自动分配出口 2.1. 使用自定义证书创建重新加密路由 15.2.2. 使用自定义证书创建边缘路由 15.2.3. 创建 passthrough 路由 第 第 16 章 章 配置集群入口流量 配置集群入口流量 16.1. 集群入口流量配置概述 16.2. 为服务配置 EXTERNALIP 16.2.1. 先决条件 16.2.2. 关于 ExternalIP 16.2.2.1. 配置 ExternalIP ExternalIP 地址块配置 外部 IP 配置示例 16.2.4. 为集群配置外部 IP 地址块 16.2.5. 后续步骤 16.3. 使用 INGRESS CONTROLLER 配置集群入口流量 16.3.1. 使用 Ingress Controller 和路由 16.3.2. 先决条件 16.3.3. 创建项目和服务 16.3.4. 通过创建路由公开服务 16.3.5. 通过路由标签（label）配置

配置集群入口流量 配置集群入口流量 30.1. 集群入口流量配置概述 30.2. 为服务配置 EXTERNALIP 30.3. 使用 INGRESS CONTROLLER 配置集群入口流量 30.4. 使用负载均衡器配置集群入口流量 30.5. 在 AWS 上配置集群入口流量 30.6. 为服务外部 IP 配置 INGRESS 集群流量 30.7. 使用 NODEPORT 配置集群入口流量 30 30.8. 使用负载均衡器允许的源范围配置集群入口流量 第 第 31 章 章 KUBERNETES NMSTATE 31.1. 关于 KUBERNETES NMSTATE OPERATOR 31.2. 观察和更新节点网络状态和配置 31.3. 对节点网络配置进行故障排除 第 第 32 章 章 配置集群范 配置集群范围 围代理 代理 32.1. 先决条件 32.2. 启用集群范围代理 32.3 1. 负载均衡器服务的限制 34.2. 使用带有 KURYR SDN 的 OCTAVIA OVN 负载均衡器供应商驱动 34.3. 使用 OCTAVIA 为应用程序流量扩展集群 34.4. 使用 RHOSP OCTAVIA 为入站流量扩展 34.5. 配置外部负载均衡器 第 第 35 章 章 使用 使用 METALLB 进 进行 行负载 负载平衡 平衡 35.1. 关于 METALLB 和 METALLB

1.9. 在服务网格中添加服务 1.10. 启用 SIDECAR 注入 1.11. 升级 SERVICE MESH 1.12. 管理用户和配置集 1.13. 安全性 1.14. 管理服务网格中的流量 1.15. 指标、日志和追踪 1.16. 性能和可扩展性 1.17. 为生产环境配置 SERVICE MESH 1.18. 连接服务网格 1.19. 扩展 1.20. 使用 3SCALE WEBASSEMBLY SERVICE MESH 和 ISTIO 的不同 2.4. 准备安装 SERVICE MESH 2.5. 安装 SERVICE MESH 2.6. 在 SERVICE MESH 中自定义安全性 2.7. 流量管理 2.8. 在 SERVICE MESH 上部署应用程序 2.9. 数据可视化和可观察性 2.10. 自定义资源 2.11. 使用 3SCALE ISTIO 适配器 2.12. 删除 SERVICE 微服务架构将企业应用的工作分成模块化服务，从而简化扩展和维护。但是，随着微服务架构上构建的企 业应用的规模和复杂性不断增长，理解和管理变得困难。Service Mesh 可以通过捕获或截获服务间的流量 来解决这些架构问题，并可修改、重定向或创建新请求到其他服务。 Service Mesh 基于开源 Istio 项目，为创建部署的服务提供发现、负载均衡、服务对服务身份验证、故障 恢复、指标和监控

为服务网格配置分布式追踪 4.3. 应用程序示例 4.4. KIALI 教程 4.5. 分布式追踪 4.6. 自动路由创建 第 第 5 章 章 SERVICE MESH 用 用户 户指南 指南 5.1. 流量管理 第 第 6 章 章 支持 支持 6.1. 为红帽支持收集 RED HAT OPENSHIFT SERVICE MESH 数据 第 第 7 章 章 3SCALE 适配器 适配器 7.1. Hat OpenShift Service Mesh 在服务网络间提供了实现关键功能的统一方式： 流量管理 流量管理 - 控制服务间的流量和 API 调用，提高调用的可靠性，并使网络在条件不好的情况保持 稳定。 服 服务标识 务标识和安全性 和安全性 - 在网格中提供可验证身份的服务，并提供保护服务流量的能力，以便可以通 过信任度不同的网络进行传输。 策略 策略强 强制 制 - 对服务间的交互 中运行，负载均衡器健康检查就会失败。 MAISTRA-348 OpenShift 4 Beta on AWS 不支持端口 80 或 443 之外的 ingress 网关流量。如果 您将 ingress 网关配置为使用 80 或 443 以外的端口号处理 TCP 流量，作为临时解决方案，您必 须使用 AWS 负载均衡器提供的服务主机名，而不是使用 OpenShift 路由器。 1.5.2. Kiali 修复的问题