idou教你學Istio10 : 如何用Istio實現K8S Egress流量管理

摘要： 上一篇我們瞭解瞭如何控制入口流量，本文主要介紹在使用 Istio 時如何訪問叢集外服務，即對出口流量的管理。 預設安裝的Istio是不能直接對叢集外部服務進行訪問的，如果需要將外部服務暴露給 Istio 叢集中的客戶端，目前有兩種方案： 配置ServiceEnt...

上一篇我們瞭解瞭如何控制入口流量，本文主要介紹在使用 Istio 時如何訪問叢集外服務，即對出口流量的管理。

預設安裝的Istio是不能直接對叢集外部服務進行訪問的，如果需要將外部服務暴露給 Istio 叢集中的客戶端，目前有兩種方案：

1. 配置ServiceEntry

2. 配置global.proxy.includeIPRanges

配置 serviceEntry 訪問外部服務

ServiceEntry 用於將額外的條目新增到 Istio 內部維護的服務登錄檔中，從而讓網格中自動發現的服務能夠訪問和路由到這些手動加入的服務。

ServiceEntry 描述了服務的屬性（DNS 名稱、VIP、埠、協議以及端點）。這類服務可能是網格外的 API，或者是處於網格內部但卻不存在於平臺的服務登錄檔中的條目（例如需要和 Kubernetes 服務溝通的一組虛擬機器服務）。

配置 ServiceEntry 也很簡單，允許從網格內部訪問 HTTP,HTTPS,Mongo,TCP等協議的外部服務。下面分別列舉了對外部 TCP 服務和 HTTP 服務的訪問配置。具體的 ServiceEntry 的配置引數定義可參考：

ofollow,noindex">istio.io/docs/refere…

外部TCP服務訪問配置示例：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
name: mysql
spec:
hosts:
- 192.168.0.245
ports:
- number: 3306
name: tcp
protocol: TCP
複製程式碼

外部HTTP服務訪問配置示例：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
name: foo-ext
spec:
hosts:
- foo.com
ports:
- number: 80
name: http
protocol: HTTP
複製程式碼

雖然社群推薦的方式是設定 ServiceEntry 來訪問外部服務，但如果叢集外需要訪問的服務很多，一個個配置起來就很麻煩，也不方便管理。

配置global.proxy.includeIPRanges

如果使用 HELM 安裝 Istio, 可以在 Helm 中設定global.proxy.includeIPRanges 變數為叢集 clusterIP 的範圍，然後進行安裝。

如果要對已經安裝好的 Istio 修改配置，需要修改名為istio-sidecar-injector 的 Configmap 的“-i”的取值為叢集 clusterIP，稍後重啟所有服務的pod,重新注入sidecar。然後你會看到重啟後 pod 中的 initContainers 的-i 引數值已經變為叢集clusterIP的範圍。

這種方式使得只有叢集內的 IP 通過 sidecar，對外部服務的呼叫越過了 Istio sidecar proxy，讓服務可以直接訪問到對應的外部地址。

相比配置 ServiceEntry,這種方式簡單對 Istio 進行全域性配置，就可以直接訪問所有外部服務。但缺點是不能治理叢集外服務的訪問流量，比如不能對叢集外中介軟體服務進行熔斷限流；而且需要使用者瞭解雲供應商特定的知識和配置。