idou教你學Istio10 : 如何用Istio實現K8S Egress流量管理

前言

上一篇咱們瞭解瞭如何控制入口流量，本文主要介紹在使用 Istio 時如何訪問集羣外服務，即對出口流量的管理。

默認安裝的Istio是不能直接對集羣外部服務進行訪問的，若是須要將外部服務暴露給 Istio 集羣中的客戶端，目前有兩種方案：

1. 配置ServiceEntry

2. 配置global.proxy.includeIPRanges

配置 serviceEntry 訪問外部服務

ServiceEntry 用於將額外的條目添加到 Istio 內部維護的服務註冊表中，從而讓網格中自動發現的服務可以訪問和路由到這些手動加入的服務。

ServiceEntry 描述了服務的屬性（DNS 名稱、VIP、端口、協議以及端點）。這類服務多是網格外的 API，或者是處於網格內部但卻不存在於平臺的服務註冊表中的條目（例如須要和 Kubernetes 服務溝通的一組虛擬機服務）。

配置 ServiceEntry 也很簡單，容許從網格內部訪問 HTTP,HTTPS,Mongo,TCP等協議的外部服務。下面分別列舉了對外部 TCP 服務和 HTTP 服務的訪問配置。具體的 ServiceEntry 的配置參數定義可參考：

istio.io/docs/refere…

外部TCP服務訪問配置示例：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: mysql
spec:
  hosts:
  - 192.168.0.245
  ports:
  - number: 3306
    name: tcp
    protocol: TCP
複製代碼

外部HTTP服務訪問配置示例：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: foo-ext
spec:
  hosts:
  - foo.com
  ports:
  - number: 80
    name: http
    protocol: HTTP
複製代碼

雖然社區推薦的方式是設置 ServiceEntry 來訪問外部服務，但若是集羣外須要訪問的服務不少，一個個配置起來就很麻煩，也不方便管理。

配置 global.proxy.includeIPRanges

若是使用 HELM 安裝 Istio, 能夠在 Helm 中設置 global.proxy.includeIPRanges 變量爲集羣 clusterIP 的範圍，而後進行安裝。

若是要對已經安裝好的 Istio 修改配置，須要修更名爲 istio-sidecar-injector 的 Configmap 的「-i」的取值爲集羣 clusterIP，稍後重啓全部服務的pod,從新注入sidecar。而後你會看到重啓後 pod 中的 initContainers 的 -i 參數值已經變爲集羣clusterIP的範圍。

這種方式使得只有集羣內的 IP 經過 sidecar，對外部服務的調用越過了 Istio sidecar proxy，讓服務能夠直接訪問到對應的外部地址。

相比配置 ServiceEntry,這種方式簡單對 Istio 進行全局配置，就能夠直接訪問全部外部服務。但缺點是不能治理集羣外服務的訪問流量，好比不能對集羣外中間件服務進行熔斷限流；並且須要用戶瞭解雲供應商特定的知識和配置。

最後

目前社區尚未完美的解決方案，可參考討論：

groups.google.com/forum/#!sea…