李福攀+-服务网格与业务应用之间快速的流量路径.pdfVIP

Istio Ambient Mesh + Kata 场景下的 快速数据平面路径 Intel 云原生软件研发工程师 / 张怀龙 蚂蚁集团高级技术专家 / 李福攀 演讲议题  服务网格流量劫持的基本原理和演进现状  Istio + Kata 流量劫持的实现方案及其存在的问题  Istio Ambient Mesh + Kata 快速数据平面方案介绍 演讲议题  服务网格流量劫持的基本原理和演进现状  Istio + Kata 流量劫持的实现方案及其存在的问题  Istio Ambient Mesh + Kata 快速数据平面方案介绍 服务网格流量劫持的基本实现 目前流量劫持的实现主要有基于 iptables/netfilter 和 eBPF 两种方 案: 方案名称 实现分类 实现原理 代表项目 备注 通过 Kubernetes 的 init-container 或者方案自身实 Istio and Linkerd Istio Sidecar Sidecar Pre Pod 现 CNI 组件去操作 CNI Network Plugin 完成 Istio Ambient Mesh iptables/netfilter iptables rules 规则在 Pod 或者 Node 上的配置，最 终实现服务网格中网络流量的劫持。 Sidecar Per Node Sidecar Pre Pod 通过方案自身实现 CNI 组件去加载流量劫持相关的 Cilium and Flomesh eBPF Program，并将其关联到 Linux 对应的 eBPF eBPF Sidecar Per Node 挂载点，以此实现服务网格中网络流量的劫持和监 控，以及网络通信的加速。 Sidecarless Sidecar 模式下，mesh 和业务应用是相同pod 中不同容器之间的流量交互。Ambient 模式下mesh和业务应用是相同节 点中不同pod之间的流量交互 Istio 流量劫持之边车组件  istio-init o 作为 kubernetes 的 init container 为应 用 Pod 的网络进行初始化为 Envoy 容器 配置其应用的 iptables 规则 o 关键端口：15001 和 15006 o 新增规则链 ：ISTIO_INBOUND， ISTIO_IN_REDIRECT，ISTIO_OUTPUT 和 ISTIO_REDIRECT  istio-proxy o 可以理解为对 Envoy proxy 的增强或者 扩展，具体可以查看官方文档 图片来源 Istio 流量劫持之边车 Istio CNI  istio-validation