NGINX Service Mesh on saadaval

Meil on hea meel tutvustada eelversiooni NGINX Service Mesh (NSM), kergekaaluline teenuse mesh, mis kasutab NGINX Plusi andmeplaani konteinerite liikluse haldamiseks Kubernetes'i keskkondades.

NSM on tasuta saadaval siit alla laadida. Loodame, et proovite seda kasutada arendus- ja testkeskkondades — ning ootame teie tagasisidet. GitHub'is.

Mikroteenuste metodoloogia juurutamine toob endaga kaasa väljakutseid, kui tarnimine laieneb ja muutub keerulisemaks. Teenuste vaheline suhtlus muutub keerulisemaks, tõrkeotsinguga on raskem toime tulla, järjest rohkem teenuseid nõuab rohkem ressursse haldamiseks.

NSM lahendab need probleemid, pakkudes teile eelkõige:

• Turvalisus, mis on nüüd olulisem kui kunagi varem. Andmeleke võib maksta ettevõttele iga-aastaselt miljoneid dollareid tulude ja maine kaotamise näol. NSM tagab kõigi ühenduste krüpteerimise mTLS abil – seega ei ole tundlikke andmeid, mida häkkerid võiksite veebis varastada. Juurdepääsukontroll võimaldab teil määrata poliitikad, kuidas teenused omavahel suhtlevad.
• Liiklustugevdus. Uue rakenduse versiooni tarnimisel võiksite alguses piirata selle sissetulevat liiklust võimalike vigade vältimiseks. NSM-i konteinerite nutikas liikluse haldamine võimaldab teil määrata liikluse piiramisreeglid uutele teenustele, mis kasvavad aja jooksul. Teised funktsioonid, nagu kiiruspiirang ja circuit breakers, annavad teile täieliku kontrolli liikluse haldamise üle kõigi teie teenuste jaoks.
• Visualiseerimine. Tuhandeid teenuseid haldamine võib olla tõeliselt keeruline vigade otsimise ja visualiseerimise osas. NSM aitab sellistes olukordades, pakkudes sisseehitatud Grafana juhtpaneeli, kus kuvatakse kõik NGINX Plusi omadused. Samuti on integreeritud Open Tracing, mis võimaldab detailset jälgimist tehingute üle.
• Hübriidset tarnimist, kui teie ettevõte, nagu enamik teisi, ei kasuta täielikult Kubernetesel põhinevat infrastruktuuri. NSM tagab, et vanad rakendused ei jää tähelepanuta. NGINX Kubernetes Ingress Controller-i integreerimisega saavad vanad teenused suhelda mesh-teenustega ja vastupidi.

NSM tagab ka rakenduste turvalisuse nullusalduslike keskkondade hulgas, rakendades läbipaistvalt krüpteerimist ja konteinerite liikluse autentimist. Samuti võimaldab see jälgida ja analüüsida tehinguid, aidates kiiresti ja täpselt käivitada juurutusi ja lahendada probleeme. Lisaks pakub see detailset liikluse kontrolli, võimaldades DevOps meeskondadel juurutada ja optimeerida rakenduste komponente, samal ajal võimaldades arendajatel luua ja hõlpsasti ühendada jaotatud rakendusi.

Kuidas on üles ehitatud NGINX Service Mesh?

NSM koosneb ühendatud andmeplaanist horisontaalse (teenus-teenusele) liikluse jaoks ja integreeritud NGINX Plus sissepääsu kontrollereist vertikaalse liikluse jaoks, mis on hallatud ühise kontrollplaani kaudu.

Kontrollplaan on spetsiaalselt loodud ja optimeeritud NGINX Plus andmeplaani jaoks, määratleb liikluse juhtimise reeglid, mis on jaotatud NGINX Plus sidecaride vahel.

NSM sidecarid on paigaldatud iga teenuse jaoks mesh-is. Need suhtlevad järgmiste avatud lähtekoodiga lahendustega:

• Grafana, Prometheuse parameetrite visualiseerimine, sisseehitatud NSM armatuurlauad aitavad teid töös;
• Kubernetes Ingress Controllers, sissetuleva ja väljaminev liiklus mesh-i haldamiseks;
• SPIRE, CA sertifikaatide haldamiseks, levitamiseks ja värskendamiseks mesh-is;
• NATS, skaleeritav sõnumite edastamise süsteem, näiteks marsruutide värskendused control plane'ist sidecar'ide juurde;
• Open Tracing, jaotatud häireraport (toetatakse Zipkini ja Jaeger'i);
• Prometheus, omaduste kogumine ja salvestamine NGINX Plus sidecar'idelt, näiteks päringute arv, ühendused ja SSL handshake'id.

Funktsioonid ja komponendid

NGINX Plus andmeplaanina katab sidecar proxy (horisontaalne liiklus) ja Ingress controller (vertikaalne), edastades ja hallates konteinerite liiklust teenuste vahel.

Funktsioonid hõlmavad:

• TLS (mTLS) üksteise autentimist;
• Koormuse tasandamine;
• Vea taluvus;
• Kiiruspiirang;
• Circuit breaking;
• Sinine-roheline ja kanarbiku juurutamine;
• Juurdepääsukontroll.

NGINX Service Meshi käivitamine

NGINX Service Meshi käivitamiseks on vajalik:

• juurdepääs Kubernetes'i keskkonnale. NGINX Service Mesh on toetatud mitmetes Kubernetes platvormides, sealhulgas Amazon Elastic Container Service for Kubernetes (EKS), Azure Kubernetes Service (AKS), Google Kubernetes Engine (GKE), VMware vSphere ja tavalised Kubernetes klastrid, mis on juurutatud "rauda" serverites;
• Tööriista kubectl, installeeritud masinasse, kust NSM paigaldatakse;
• Juurdepääs NGINX Service Meshi väljaannete pakettidele. Paketis on NSMi pildid, mida on vaja konteinerite suletud registry jaoks, mis on saadaval Kubernetes'i klastris. Pakett sisaldab ka nginx-meshctl, mis on vajalik NSM-i juurutamiseks.

NSM-i juurutamiseks vaikeseadistustega käivitage järgmine käsk. Juurutamise ajal kuvatakse sõnumid komponentide eduka installimise kohta ja lõpuks sõnum, et NSM töötab eraldi nimede ruumis (esialgu tuleb see lae alla ja paigutada registry, tõlkija märk.):

$ DOCKER_REGISTRY=your-Docker-registry ; MESH_VER=0.6.0 ; 
 ./nginx-meshctl deploy  
  --nginx-mesh-api-image "${DOCKER_REGISTRY}/nginx-mesh-api:${MESH_VER}" 
  --nginx-mesh-sidecar-image "${DOCKER_REGISTRY}/nginx-mesh-sidecar:${MESH_VER}" 
  --nginx-mesh-init-image "${DOCKER_REGISTRY}/nginx-mesh-init:${MESH_VER}" 
  --nginx-mesh-metrics-image "${DOCKER_REGISTRY}/nginx-mesh-metrics:${MESH_VER}"
Loodud nimede ruum "nginx-mesh".
Loodud SpiffeID CRD.
Ootame Spire'i podide töötamist... tehtud.
Asetatud Spire.
Asetatud NATS server.
Loodud liiklusreeglite CRD-d.
Asetatud Mesh API.
Asetatud Metrics API Server.
Asetatud Prometheus Server nginx-mesh/prometheus-server.
Asetatud Grafana nginx-mesh/grafana.
Asetatud jälgimisserver nginx-mesh/zipkin.
Kõik ressursid loodud. Testime ühendust Service Mesh API Serveriga...

Ühendatud NGINX Service Mesh API-ga edukalt.
NGINX Service Mesh töötab.

Täpsemate seadete, sealhulgas laiendatud seadete saamiseks käivitage see käsk:

$ nginx-meshctl deploy –h

Kontrollige, et kontrolltase töötab korrektselt nimepindades nginx-mesh, seda saab teha nii:

$ kubectl get pods –n nginx-mesh
NIMI                                VALMIS   OLEK      KORDUSED   VANUS
grafana-6cc6958cd9-dccj6             1/1     Töötamine  0          2d19h
mesh-api-6b95576c46-8npkb            1/1     Töötamine  0          2d19h
nats-server-6d5c57f894-225qn         1/1     Töötamine  0          2d19h
prometheus-server-65c95b788b-zkt95   1/1     Töötamine  0          2d19h
smi-metrics-5986dfb8d5-q6gfj         1/1     Töötamine  0          2d19h
spire-agent-5cf87                    1/1     Töötamine  0          2d19h
spire-agent-rr2tt                    1/1     Töötamine  0          2d19h
spire-agent-vwjbv                    1/1     Töötamine  0          2d19h
spire-server-0                       2/2     Töötamine  0          2d19h
zipkin-6f7cbf5467-ns6wc              1/1     Töötamine  0          2d19h

Sõltuvalt juurutamise parameetritest, mis määravad käsitsi või automaatse sisestamise poliitikad, lisatakse NGINX sidecar'ide vahetükid rakendustele automaatselt. Automaatse lisamise välja lülitamiseks lugege siit

Näiteks, kui me juurutame rakenduse uni nimeserveris default, ja seejärel kontrollime Pod'i — näeme kahte töötavat konteinerit, rakendus uni ja sellega seotud sidecar:

$ kubectl apply –f sleep.yaml
$ kubectl get pods –n default
NIMI                     VALMIS   OLEK      KORDUSED   VANUS
sleep-674f75ff4d-gxjf2   2/2     Töötamine  0          5h23m

Saame samuti jälgida rakendust uni NGINX Plus paneelis, käivitage see käsk, et saada juurdepääs sidecar'ile oma lokaalsest masinast:

$ kubectl port-forward sleep-674f75ff4d-gxjf2 8080:8886

Seejärel lihtsalt siseneme siia brauserisse. Samuti saate ühendada Prometheus'e, et jälgida rakendust uni.

Võite kasutada eraldi Kubernetes'i ressursse liikluspoliitikate seadistamiseks, näiteks juurdepääsu kontrolle, kiiruspiiranguid ja circuit breaking'i, selle jaoks vaadake dokumentatsiooni

Kokkuvõte

NGINX Service Mesh on tasuta allalaetav F5 portealis. Proovige seda oma dev ja test keskkondades ning kohtuge meiega tulemuste arutamiseks..

Katsudes NGINX Plus Ingress Controller'i, aktiveerige tasuta prooviperiood 30 päevaks, või võtke meiega ühendust oma kasutusjuhtude arutamiseks.

Tõlge on autoritooted Pavel Demkovichilt, ettevõtte insenerilt Southbridge. Süsteemihaldus 15 000 ₽ kuus. Ja eraldi osakonnana — koolituskeskus Slöärm, praktika ja mitte miski muu kui praktika.

Allikas: habr.com