NGINX Service Mesh on saadaval

Meil on hea meel tutvustada eelversiooni NGINX Service Mesh (NSM), kerge service mesh, mis kasutab NGINX Plusi põhinevat andmeplaani konteinerite liikluse haldamiseks Kubernetes keskkondades.

NSM-i saab tasuta siit alla laadida. Loodame, et proovite seda dev ja test keskkondades — ja ootame teie tagasisidet GitHubis.

Mikroteenuste rakendamine on seotud väljakutsetega tarnete suurendamisel ja keerukuse kasvu tõttu. Teenuste vaheline suhtlus on keerulisem, silumisprobleemid muutuvad raskemaks ning üha rohkem teenuseid nõuab suuremaid ressursse haldamiseks.

NSM lahendab need probleemid, pakkudes teile eelkõige:

• Turvalisus, mis on nüüd olulisem kui kunagi varem. Andmelekke tagajärjed võivad maksma minna ettevõtetele miljoneid dollareid aastas tulu ja reputatsiooni kaotuse näol. NSM tagab kõikide ühenduste krüpteerimise mTLS-iga — nii et tundlikke andmeid, mida häkkerid võisid üle võrgu varastada, pole lihtsalt olemas. Juurdepääsukontroll võimaldab teil määrata poliitikad, kuidas teenused omavahel suhtlevad.
• Liikluse haldamine. Uue rakenduse versiooni väljaandmisel võiksite alguses piirata selle sisenemist liiklust, et vältida võimalikke vigu. NSM-i arukate konteinerite liikluse halduse abil saate määrata liikumise piirangute poliitika uutele teenustele, mis suurendab liiklust ajas. Muud funktsioonid, nagu kiiruspiirangud ja circuit breakers, annavad teile täieliku kontrolli kõikide teie teenuste liikluse haldamise üle.
• Visualiseerimine. Tuhandete teenuste haldamine võib olla silumis- ja visualiseerimisõudus. NSM aitab sellises olukorras integreeritud Grafana juhtpaneeli abil, kus kuvatakse kõik NGINX Plusi saadaval olevad omadused. Samuti võimaldab sisse ehitatud Open Tracing põhjalikult jälgida tehingute kulgu.
• Hübriidtarned, kui teie ettevõte, nagu enamik teisi, ei kasuta täielikult Kubernetesel põhinevat infrastruktuuri. NSM tagab, et vanad rakendused ei jää tähelepanuta. Sisse ehitatud NGINX Kubernetes Ingress Controller võimaldab vanadel teenustel suhelda mesh teenustega ja vastupidi.

NSM tagab ka rakenduste turvalisust null usaldusväärsuse keskkondades, rakendades läbipaistvalt konteinerite liikluse krüpteerimist ja autentimist. Samuti võimaldab see tehingute jälgimist ja analüüsi, aidates kiiresti ja täpselt käivitada juurutusi ning lahendada probleeme. Lisaks tagab see põhjaliku liikluse kontrolli, võimaldades DevOpsi meeskondadel juurutada ja optimeerida rakenduste osi, samas andes arendajatele võimaluse luua ja kergesti ühendada nende hajutatud rakendusi.

Kuidas töötab NGINX Service Mesh?

NSM koosneb integreeritud andmeplaadist horisontaalse (teenus-teenusele) liikluse jaoks ja integreeritud NGINX Plus Ingress Controller'ist vertikaalse liikluse jaoks, mida juhib ühine juhtplaan.

Juhtplaan on spetsiaalselt loodud ja optimeeritud NGINX Plus andmeplaandi jaoks, määrates liikluse juhtimise reeglid, mis on jaotatud NGINX Plus sidecar'ide vahel.

NSM sidecar'id paigaldatakse igale teenusele mesh'is. Need suhtlevad järgmiste avatud lähtekoodiga lahendustega:

• Grafana, Prometheuse parameetrite visualiseerimine, sisseehitatud NSM paneel aitab teil töötada;
• Kubernetes Ingress Controller'id, et hallata sisenevat ja väljaminevat liiklust mesh'is;
• SPIRE, CA sertifikaatide haldamiseks, jagamiseks ja uuendamiseks mesh'is;
• NATS, skaleeritav sõnumite saatmise süsteem, näiteks marsruutide uuendused, juhtplaanist sidecar'ideni;
• Open Tracing, hajutatud silumine (toetatakse Zipkini ja Jaegerit);
• Prometheus, NGINX Plus sidecar'idelt parameetrite kogumine ja talletamine, näiteks päringute arvu, ühenduste ja SSL-i käepigistuste arv.

Funktsioonid ja komponendid

NGINX Plus andmeplaana katab sidecar proxy (horisontaalne liiklus) ja Ingress controller (vertikaalne), katab ja haldab konteinerite liiklust teenuste vahel.

Funktsioonid hõlmavad:

• TLS-i vastastikune autentimine (mTLS);
• Laadimise tasakaalustamine;
• Veakindlus;
• Kiiruspiiramine;
• Circuit breaking;
• Sinine-roheline ja kanarjane juurutamine;
• Juhtimise kontroll.

NGINX Service Mesh'i käivitamine

NSM-i käivitamiseks on vajalik:

• Ligipääs Kubernetes'i keskkonnale. NGINX Service Mesh'i toetatakse paljudel Kubernetes'i platvormidel, sealhulgas Amazon Elastic Container Service for Kubernetes (EKS), Azure Kubernetes Service (AKS), Google Kubernetes Engine (GKE), VMware vSphere ja tavapärastes Kubernetes'i klastrites, mis on juurutatud "raudserveritel";
• Tööriist kubectl, paigaldatud masinas, kust NSM paigaldatakse;
• Pääs NGINX Service Meshi väljaandepakettidesse. Pakett sisaldab NSM-i pilte, mida on vaja konteinerite privaatregistrisse laadimiseks, mis on saadaval Kubernetesi klastris. Pakett sisaldab ka nginx-meshctl, mis on vajalik NSM-i juurutamiseks.

NSM-i juurutamiseks vaikeseadetega käivitage järgmine käsk. Juurutamise ajal kuvatakse sõnumeid komponentide eduka installimise kohta ja lõpuks on sõnum, et NSM töötab eraldi nimede ruumis (alguseks tuleb see alla laadida ja laadida registrisse, tõlkija märkus):

$ DOCKER_REGISTRY=your-Docker-registry ; MESH_VER=0.6.0 ; 
 .\/nginx-meshctl deploy  
  --nginx-mesh-api-image "${DOCKER_REGISTRY}\/nginx-mesh-api:${MESH_VER}" 
  --nginx-mesh-sidecar-image "${DOCKER_REGISTRY}\/nginx-mesh-sidecar:${MESH_VER}" 
  --nginx-mesh-init-image "${DOCKER_REGISTRY}\/nginx-mesh-init:${MESH_VER}" 
  --nginx-mesh-metrics-image "${DOCKER_REGISTRY}\/nginx-mesh-metrics:${MESH_VER}"
Loodud nimede ruum "nginx-mesh".
Loodud SpiffeID CRD.
Ootame, kuni Spire'i podid on töötavad...valmis.
Juurutatud Spire.
Juurutatud NATS server.
Loodud liikluspoliitika CRD-d.
Juurutatud Mesh API.
Juurutatud Metrics API Server.
Juurutatud Prometheus Server nginx-mesh\/prometheus-server.
Juurutatud Grafana nginx-mesh\/grafana.
Juurutatud jälgimisserver nginx-mesh\/zipkin.
Kõik ressursid loodud. Testime ühendust Service Mesh API Serveriga...

Ühendatud NGINX Service Mesh API-ga edukalt.
NGINX Service Mesh töötab.

Täpsemate parameetrite, sealhulgas laiendatud seadistuste saamiseks käivitage see käsk:

$ nginx-meshctl deploy –h

Kontrollige, et juhtimislennuk töötab korrektselt nimede ruumis nginx-mesh, saate seda teha:

$ kubectl get pods –n nginx-mesh
NIMI                                 VALMIS   SEISUND    UUENDUSED   VANUS
grafana-6cc6958cd9-dccj6             1\/1     Töötav   0          2d19h
mesh-api-6b95576c46-8npkb            1\/1     Töötav   0          2d19h
nats-server-6d5c57f894-225qn         1\/1     Töötav   0          2d19h
prometheus-server-65c95b788b-zkt95   1\/1     Töötav   0          2d19h
smi-metrics-5986dfb8d5-q6gfj         1\/1     Töötav   0          2d19h
spire-agent-5cf87                    1\/1     Töötav   0          2d19h
spire-agent-rr2tt                    1\/1     Töötav   0          2d19h
spire-agent-vwjbv                    1\/1     Töötav   0          2d19h
spire-server-0                       2\/2     Töötav   0          2d19h
zipkin-6f7cbf5467-ns6wc              1\/1     Töötav   0          2d19h

Sõltuvalt juurutusparameetritest, mis seadistavad käsitsi või automaatse süstimise poliitikaid, lisatakse NGINX-i sidecar'id rakendustele vaikimisi. Automaatse lisamise keelamiseks lugege siin

Näiteks kui me juurutame rakenduse sleep nimede ruumis Seejärel käivitame exec käsu ja ootame 5000 sekundit, et jätkata jälgimist:, ja siis kontrollime Pod'i — näeme kahte töötavat konteinerit, rakenduse sleep ja sellega seotud sidecar'i:

$ kubectl apply –f sleep.yaml
$ kubectl get pods –n default
NIMI                     VALMIS   SEISUND    UUENDUSED   VANUS
sleep-674f75ff4d-gxjf2   2\/2     Töötav   0          5h23m

Samuti saame jälgida rakendust sleep NGINX Plus paneelil, käivitades selle käsu, et saada juurdepääs sidecar'ile oma lokaalsest masinast:

$ kubectl port-forward sleep-674f75ff4d-gxjf2 8080:8886

Seejärel lihtsalt avame siia brauseris. Samuti saate ühendada Prometheus'ega, et jälgida rakendust sleep.

Saate kasutada eraldi Kubernetes'i ressursse liiklussuunamisreeglite seadistamiseks, näiteks juurdepääsu kontrollimiseks, kiiruspiiramiseks ja circuit breaking'iks. Selle jaoks vaadake dokumentatsioon

Kokkuvõte

NGINX Service Mesh on tasuta allalaadimiseks saadaval F5 portaalis. Proovige seda oma dev ja test keskkondades ning andke meile oma tulemustest teada.

NGINX Plus Ingress Controller'i proovimiseks aktiveerige tasuta prooviperiood 30 päevaks või võtke meiega ühendust oma kasutusvõimaluste arutamiseks.

Tõlke autoriks on Pavel Demkovich, ettevõtte insener Southbridge. Süsteemihaldus 15 000 ₽ kuus. Ja eraldi üksusena — koolitus- ja praktiline keskus Slürm, praktika ja mitte midagi muud kui praktika.

Allikas: habr.com