{"id":32766,"date":"2019-10-31T21:48:48","date_gmt":"2019-10-31T18:48:48","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-zapustit-istio-ispolzuya-kubernetes-v-production-chast-1\/"},"modified":"2019-10-31T21:48:48","modified_gmt":"2019-10-31T18:48:48","slug":"kak-zapustit-istio-ispolzuya-kubernetes-v-production-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-zapustit-istio-ispolzuya-kubernetes-v-production-chast-1","title":{"rendered":"Hogyan ind\u00edtsuk el az Istio-t Kubernetes-ben a production k\u00f6rnyezetben. 1. r\u00e9sz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Mi az Istio<\/a><\/noindex>? \u042d\u0442\u043e \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u044b\u0439 Service mesh, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0430\u0431\u0441\u0442\u0440\u0430\u043a\u0446\u0438\u0438 \u043d\u0430\u0434 \u0441\u0435\u0442\u044c\u044e. \u041c\u044b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0435\u043c \u0432\u0435\u0441\u044c \u0438\u043b\u0438 \u0447\u0430\u0441\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0432 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0435 \u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u0441 \u043d\u0438\u043c. \u041a\u0430\u043a\u043e\u0439 \u0438\u043c\u0435\u043d\u043d\u043e? \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0434\u0435\u043b\u0430\u0435\u043c \u0443\u043c\u043d\u044b\u0439 \u0440\u043e\u0443\u0442\u0438\u043d\u0433, \u0438\u043b\u0438 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u043c \u043f\u043e\u0434\u0445\u043e\u0434 circuit breaker, \u043c\u043e\u0436\u0435\u043c \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u044b\u0432\u0430\u0442\u044c \u00abcanary deployment\u00bb, \u0447\u0430\u0441\u0442\u0438\u0447\u043d\u043e \u043f\u0435\u0440\u0435\u043a\u043b\u044e\u0447\u0430\u044f \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u043d\u043e\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0441\u0435\u0440\u0432\u0438\u0441\u0430, \u0430 \u043c\u043e\u0436\u0435\u043c \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0442\u044c \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0441\u0435 \u043f\u043e\u0445\u043e\u0434\u044b \u0438\u0437 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0430 \u0432\u043e \u0432\u043d\u0435\u0448\u043d\u044e\u044e \u0441\u0435\u0442\u044c. \u0415\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0437\u0430\u0434\u0430\u0432\u0430\u0442\u044c policy \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044f \u043f\u043e\u0445\u043e\u0434\u043e\u0432 \u043c\u0435\u0436\u0434\u0443 \u0440\u0430\u0437\u043d\u044b\u043c\u0438 \u043c\u0438\u043a\u0440\u043e\u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438. \u041d\u0430\u043a\u043e\u043d\u0435\u0446, \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0432\u0441\u044e \u043a\u0430\u0440\u0442\u0443 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043f\u043e \u0441\u0435\u0442\u0438 \u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0443\u043d\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0441\u0431\u043e\u0440 \u043c\u0435\u0442\u0440\u0438\u043a \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e \u0434\u043b\u044f \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439.<\/p>\n

A m\u0171k\u00f6d\u00e9si mechanizmusr\u00f3l itt olvashat. hivatalos dokument\u00e1ci\u00f3ban<\/a><\/noindex>. Az Istio val\u00f3ban egy er\u0151teljes eszk\u00f6z, amely sz\u00e1mos feladat \u00e9s probl\u00e9ma megold\u00e1s\u00e1ra alkalmas. Ebben a cikkben szeretn\u00e9k v\u00e1laszolni a legfontosabb k\u00e9rd\u00e9sekre, amelyek \u00e1ltal\u00e1ban felmer\u00fclnek az Istio haszn\u00e1lat\u00e1nak kezdet\u00e9n. Ez seg\u00edthet gyorsabban eligibiliz\u00e1lni.<\/p>\n

\"Hogyan
\n<\/a><\/noindex><\/p>\n

A m\u0171k\u00f6d\u00e9s elve<\/h3>\n

\nAz Istio k\u00e9t f\u0151 z\u00f3n\u00e1b\u00f3l \u00e1ll - control plane \u00e9s data plane. A control plane tartalmazza azokat az alapvet\u0151 \u00f6sszetev\u0151ket, amelyek biztos\u00edtj\u00e1k a t\u00f6bbi megfelel\u0151 m\u0171k\u00f6d\u00e9s\u00e9t. A jelenlegi verzi\u00f3ban (1.0) a control plane h\u00e1rom f\u0151 \u00f6sszetev\u0151b\u0151l \u00e1ll: Pilot, Mixer, Citadel. A Citadel nem ker\u00fcl r\u00e9szletez\u00e9sre, ez a szolg\u00e1ltat\u00e1sok k\u00f6z\u00f6tti mutual TLS m\u0171k\u00f6d\u00e9s\u00e9hez sz\u00fcks\u00e9ges bizony\u00edtv\u00e1nyok gener\u00e1l\u00e1s\u00e1ra szolg\u00e1l. N\u00e9zz\u00fck meg r\u00e9szletesebben a Pilot \u00e9s a Mixer fel\u00e9p\u00edt\u00e9s\u00e9t \u00e9s c\u00e9lj\u00e1t.<\/p>\n

\"Hogyan
\n
\nA Pilot a f\u0151 ir\u00e1ny\u00edt\u00f3 \u00f6sszetev\u0151, amely terjeszti az \u00f6sszes inform\u00e1ci\u00f3t arr\u00f3l, ami a klaszterben tal\u00e1lhat\u00f3 - szolg\u00e1ltat\u00e1sok, azok v\u00e9gpontjai \u00e9s ir\u00e1ny\u00edt\u00e1si szab\u00e1lyok (p\u00e9ld\u00e1ul a Canary deployment vagy a circuit breaker szab\u00e1lyok).<\/p>\n

A Mixer egy opcion\u00e1lis \u00f6sszetev\u0151 a control plane-ben, amely lehet\u0151s\u00e9get ad a metrik\u00e1k, napl\u00f3z\u00e1s \u00e9s a h\u00e1l\u00f3zati interakci\u00f3kr\u00f3l sz\u00f3l\u00f3 inform\u00e1ci\u00f3k gy\u0171jt\u00e9s\u00e9re. Emellett figyel a Policy szab\u00e1lyok betart\u00e1s\u00e1ra \u00e9s a rate limit-ek betart\u00e1s\u00e1ra is.<\/p>\n

A data plane sidecar proxy tart\u00e1lyokon kereszt\u00fcl val\u00f3sul meg. Alap\u00e9rtelmez\u00e9s szerint egy er\u0151s proxy szerver, az envoy<\/a><\/noindex>. Ez egy m\u00e1sik megold\u00e1sra is cser\u00e9lhet\u0151, p\u00e9ld\u00e1ul nginx-re (nginmesh).<\/p>\n

Ahhoz, hogy az Istio teljesen \u00e1tl\u00e1that\u00f3an m\u0171k\u00f6dj\u00f6n a alkalmaz\u00e1sok sz\u00e1m\u00e1ra, van egy automatikus injekt\u00e1l\u00f3 rendszer. Az utols\u00f3 megold\u00e1s a Kubernetes 1.9+ verzi\u00f3khoz illeszkedik (mutational admission webhook). A Kubernetes 1.7 \u00e9s 1.8 verzi\u00f3i eset\u00e9ben Initializer haszn\u00e1lhat\u00f3.<\/p>\n

A Sidecar tart\u00e1lyok GRPC protokollon kereszt\u00fcl kapcsol\u00f3dnak a Pilot-hoz, amely lehet\u0151v\u00e9 teszi a klaszterben bek\u00f6vetkez\u0151 v\u00e1ltoz\u00e1sok push modelj\u00e9nek optimaliz\u00e1l\u00e1s\u00e1t. A GRPC az Envoy-ban kezdett haszn\u00e1l\u00f3dni 1.6 verzi\u00f3t\u00f3l, az Istio-ban pedig 0.8 verzi\u00f3t\u00f3l haszn\u00e1lj\u00e1k, \u00e9s a pilot-agent-et jelenti - a golang wrapper-t az envoy k\u00f6r\u00fcl, amely be\u00e1ll\u00edtja a param\u00e9tereket.<\/p>\n

A Pilot \u00e9s a Mixer teljesen stateless komponensek, minden \u00e1llapotot a mem\u00f3ri\u00e1ban t\u00e1rolnak. A konfigur\u00e1ci\u00f3juk Kubernetes Custom Resources form\u00e1j\u00e1ban van megadva, amelyeket az etcd-ben t\u00e1rolnak.
\nAz Istio-agent megkapja a Pilot c\u00edm\u00e9t, \u00e9s megnyit egy GRPC stream-et hozz\u00e1. <\/p>\n

Ahogy m\u00e1r mondtam, az Istio teljes m\u00e9rt\u00e9kben \u00e1tl\u00e1that\u00f3an val\u00f3s\u00edtja meg a funkci\u00f3kat az alkalmaz\u00e1sok sz\u00e1m\u00e1ra. N\u00e9zz\u00fck meg, hogyan. Az algoritmus a k\u00f6vetkez\u0151:<\/p>\n

    \n
  1. Telep\u00edtj\u00fck a szolg\u00e1ltat\u00e1s \u00faj verzi\u00f3j\u00e1t.<\/li>\n
  2. A sidecar kont\u00e9ner injekt\u00e1l\u00e1si megk\u00f6zel\u00edt\u00e9s\u00e9t\u0151l f\u00fcgg\u0151en az istio-init kont\u00e9ner \u00e9s az istio-agent kont\u00e9ner (envoy) a konfigur\u00e1ci\u00f3 alkalmaz\u00e1s\u00e1nak szakasz\u00e1ban ker\u00fcl hozz\u00e1ad\u00e1sra, vagy m\u00e1r manu\u00e1lisan beilleszthet\u0151k a Kubernetes Pod entit\u00e1s le\u00edr\u00e1s\u00e1ba.<\/li>\n
  3. Az istio-init kont\u00e9ner egy olyan szkript, amely alkalmazza az iptables szab\u00e1lyokat a pod sz\u00e1m\u00e1ra. K\u00e9t lehet\u0151s\u00e9g van a forgalom ir\u00e1ny\u00edt\u00e1s\u00e1nak be\u00e1ll\u00edt\u00e1s\u00e1ra az istio-agent kont\u00e9nerbe: haszn\u00e1lni az iptables \u00e1tir\u00e1ny\u00edt\u00f3 szab\u00e1lyokat, vagy TPROXY<\/a><\/noindex>. A cikk \u00edr\u00e1sakor alap\u00e9rtelmez\u00e9s szerint az \u00e1tir\u00e1ny\u00edt\u00f3 szab\u00e1lyok megk\u00f6zel\u00edt\u00e9se van haszn\u00e1latban. Az istio-init lehet\u0151s\u00e9get biztos\u00edt arra, hogy be\u00e1ll\u00edtsuk, milyen forgalmat kell elkapni \u00e9s ir\u00e1ny\u00edtani az istio-agent-be. P\u00e9ld\u00e1ul, ha el akarjuk kapni az \u00f6sszes bej\u00f6v\u0151 \u00e9s kimen\u0151 forgalmat, be kell \u00e1ll\u00edtanunk a param\u00e9tereket -i<\/code> \u00e9s -b<\/code> az \u00e9rt\u00e9kre *<\/code>. Megadhat\u00f3k konkr\u00e9t portok, amelyeket el kell kapni. Annak \u00e9rdek\u00e9ben, hogy egy adott alh\u00e1l\u00f3zatot ne kapjunk el, azt a flag seg\u00edts\u00e9g\u00e9vel lehet megadni -x<\/code>.<\/li>\n
  4. Az init kont\u00e9nerek futtat\u00e1sa ut\u00e1n elindulnak a f\u0151 kont\u00e9nerek, \u00e9s ezek k\u00f6z\u00f6tt a pilot-agent (envoy) is. Ez a m\u00e1r telep\u00edtett Pilot-hoz csatlakozik GRPC-n kereszt\u00fcl, \u00e9s inform\u00e1ci\u00f3t kap az \u00f6sszes l\u00e9tez\u0151 szolg\u00e1ltat\u00e1sr\u00f3l \u00e9s a clusteren bel\u00fcli routing politik\u00e1kr\u00f3l. Az \u00edgy kapott adatok alapj\u00e1n konfigur\u00e1lja a cluster-\u00f6ket \u00e9s k\u00f6zvetlen\u00fcl be\u00e1ll\u00edtja az alkalmaz\u00e1saink v\u00e9gpontjait a Kubernetes clusteren. Fontos megjegyezni egy szempontot: az envoy dinamikusan \u00e1ll\u00edtja be a hallgat\u00f3kat (IP, port p\u00e1rok), amelyeket elkezd figyelni. \u00cdgy, amikor a k\u00e9r\u00e9sek be\u00e9rkeznek a podba, az iptables \u00e1tir\u00e1ny\u00edt\u00f3 szab\u00e1lyok seg\u00edts\u00e9g\u00e9vel a sidecar-ba ir\u00e1ny\u00edt\u00f3dnak, az envoy m\u00e1r sikeresen feldolgozhatja ezeket a kapcsolatokat, \u00e9s meg\u00e9rtheti, hov\u00e1 kell tov\u00e1bb\u00edtani a forgalmat. Ezen a ponton inform\u00e1ci\u00f3t k\u00fcld\u00fcnk a Mixer-nek, amelyet k\u00e9s\u0151bb megvizsg\u00e1lunk, valamint nyomk\u00f6vet\u00e9si spans-t k\u00fcld\u00fcnk.<\/li>\n<\/ol>\n

    \nV\u00e9g\u00fcl egy eg\u00e9sz envoy proxy-szerver h\u00e1l\u00f3zatot kapunk, amelyet egyetlen pontb\u00f3l (Pilot) tudunk konfigur\u00e1lni. Minden bej\u00f6v\u0151 \u00e9s kimen\u0151 k\u00e9r\u00e9s az envoy-n kereszt\u00fcl halad. R\u00e1ad\u00e1sul csak a TCP forgalmat intercept\u00e1ljuk. Ez azt jelenti, hogy a Kubernetes szolg\u00e1ltat\u00e1s IP-je a kube-dns seg\u00edts\u00e9g\u00e9vel UDP-n kereszt\u00fcl old\u00f3dik fel an\u00e9lk\u00fcl, hogy v\u00e1ltozna. Azut\u00e1n az \u00e1rny\u00e9kol\u00e1s ut\u00e1n a kimen\u0151 k\u00e9r\u00e9s elkap\u00e1sa \u00e9s az envoy \u00e1ltali feldolgoz\u00e1s t\u00f6rt\u00e9nik, amely m\u00e1r eld\u00f6nti, hogy melyik v\u00e9gpont fel\u00e9 k\u00fcldje a k\u00e9r\u00e9st (vagy nem k\u00fcldi el, a hozz\u00e1f\u00e9r\u00e9si politik\u00e1k vagy a circuit breaker algoritmus m\u0171k\u00f6d\u00e9se eset\u00e9n).<\/p>\n

    A Pilot ut\u00e1n most meg kell \u00e9rten\u00fcnk, hogyan m\u0171k\u00f6dik a Mixer \u00e9s mire van sz\u00fcks\u00e9g. Az err\u0151l sz\u00f3l\u00f3 hivatalos dokument\u00e1ci\u00f3t el lehet olvasni itt<\/a><\/noindex>.<\/p>\n

    A Mixer jelenlegi form\u00e1j\u00e1ban k\u00e9t komponensb\u0151l \u00e1ll: istio-telemetry \u00e9s istio-policy (a 0.8-as verzi\u00f3 el\u0151tt ez egyetlen komponens volt az istio-mixer). Mindkett\u0151 mixer, mindegyik a saj\u00e1t feladat\u00e1\u00e9rt felel\u0151s. Az Istio telemetry a sidecar kont\u00e9nerekt\u0151l GRPC-n kereszt\u00fcl fogadja a Report inform\u00e1ci\u00f3t arr\u00f3l, hogy ki hov\u00e1 megy \u00e9s milyen param\u00e9terekkel. Az Istio-policy Check k\u00e9r\u00e9seket fogad a Policy szab\u00e1lyok betart\u00e1s\u00e1nak ellen\u0151rz\u00e9s\u00e9re. A Policy ellen\u0151rz\u00e9s term\u00e9szetesen nem minden k\u00e9r\u00e9sn\u00e9l t\u00f6rt\u00e9nik, hanem a kliensn\u00e9l (a sidecar-ban) egy bizonyos id\u0151re cache-elve van. A Report ellen\u0151rz\u00e9seket batch k\u00e9r\u00e9sk\u00e9nt k\u00fcldik el. Hogyan kell konfigur\u00e1lni \u00e9s milyen pontos param\u00e9tereket kell k\u00fcldeni, azt majd k\u00e9s\u0151bb megn\u00e9zz\u00fck. <\/p>\n

    A Mixert \u00fagy tervezt\u00e9k, mint egy magas rendelkez\u00e9sre \u00e1ll\u00e1s\u00fa komponenst, amely biztos\u00edtja a telemetriai adatok \u00f6sszegy\u0171jt\u00e9s\u00e9nek \u00e9s feldolgoz\u00e1s\u00e1nak folyamatos m\u0171k\u00f6d\u00e9s\u00e9t. A rendszer \u00edgy egy t\u00f6bbszint\u0171 puffert kap. Eredetileg az adatok a sidecar kont\u00e9nerek oldal\u00e1n ker\u00fclnek pufferez\u00e9sre, majd a Mixer oldal\u00e1n, \u00e9s v\u00e9g\u00fcl a \u00fagynevezett mixer backend-ekbe k\u00fcldik azokat. V\u00e9g\u00fcl, ha a rendszer egyik komponense meghib\u00e1sodik, a puffer n\u00f6vekszik, \u00e9s a rendszer helyre\u00e1ll\u00e1sa ut\u00e1n ki\u00fcr\u00fcl. A Mixer backend-ek a telemetriai adatok k\u00fcld\u00e9si v\u00e9gpontjait k\u00e9pviselik: statsd, newrelic stb. \u00cdrhatsz saj\u00e1t backend-et, ez el\u00e9g egyszer\u0171, \u00e9s megl\u00e1tjuk, hogyan kell ezt megtenni.<\/p>\n

    \"Hogyan
    \n
    \n\u00d6sszefoglalva, az istio-telemetry munkafolyamata a k\u00f6vetkez\u0151.<\/p>\n

      \n
    1. A szolg\u00e1ltat\u00e1s 1 k\u00e9r\u00e9st k\u00fcld a szolg\u00e1ltat\u00e1s 2-nek.<\/li>\n
    2. A szolg\u00e1ltat\u00e1s 1-b\u0151l val\u00f3 kil\u00e9p\u00e9skor a k\u00e9r\u00e9st a saj\u00e1t sidecar-j\u00e9be csomagolja.<\/li>\n
    3. A sidecar envoy figyelemmel k\u00eds\u00e9ri, hogyan halad a k\u00e9r\u00e9s a szolg\u00e1ltat\u00e1s 2 fel\u00e9, \u00e9s el\u0151k\u00e9sz\u00edti a sz\u00fcks\u00e9ges inform\u00e1ci\u00f3t.<\/li>\n
    4. Ezut\u00e1n elk\u00fcldi azt az istio-telemetry sz\u00e1m\u00e1ra egy Report k\u00e9r\u00e9s seg\u00edts\u00e9g\u00e9vel.<\/li>\n
    5. Az istio-telemetry meghat\u00e1rozza, hogy sz\u00fcks\u00e9ges-e ezt a Reportot a backend-eknek k\u00fcldeni, melyek a megfelel\u0151ek \u00e9s milyen adatokat kell k\u00fcldeni.<\/li>\n
    6. Az Istio-telemetry jelent\u00e9seket k\u00fcld a backendbe, ha sz\u00fcks\u00e9ges.<\/li>\n<\/ol>\n

      \nMost n\u00e9zz\u00fck meg, hogyan lehet telep\u00edteni az Istio rendszert, amely csak a f\u0151 \u00f6sszetev\u0151kb\u0151l (Pilot \u00e9s sidecar envoy) \u00e1ll.<\/p>\n

      El\u0151sz\u00f6r n\u00e9zz\u00fck meg a f\u0151 konfigur\u00e1ci\u00f3t (mesh), amelyet a Pilot olvas:<\/p>\n

      apiVersion: v1\nkind: ConfigMap\nmetadata:\n  name: istio\n  namespace: istio-system\n  labels:\n    app: istio\n    service: istio\ndata:\n  mesh: |-\n\n    # egyel\u0151re nem kapcsoljuk be a tracing inform\u00e1ci\u00f3k k\u00fcld\u00e9s\u00e9t (a pilot \u00fagy konfigur\u00e1lja az envoyokat, hogy a k\u00fcld\u00e9s ne t\u00f6rt\u00e9njen meg)\n    enableTracing: false\n\n    # egyel\u0151re nem adjuk meg a mixer v\u00e9gpontokat, hogy a sidecar t\u00e1rol\u00f3k ne k\u00fcldjenek inform\u00e1ci\u00f3t oda\n    #mixerCheckServer: istio-policy.istio-system:15004\n    #mixerReportServer: istio-telemetry.istio-system:15004\n\n    # be\u00e1ll\u00edtjuk az id\u0151intervallumot, amellyel az envoy \u00fajra megk\u00e9rdezi a Pilotot (ez r\u00e9gi verzi\u00f3j\u00fa envoy proxyhoz van)\n    rdsRefreshDelay: 5s\n\n    # alap\u00e9rtelmezett konfigur\u00e1ci\u00f3 az envoy sidecarhoz\n    defaultConfig:\n      # hasonl\u00f3an mint az rdsRefreshDelay\n      discoveryRefreshDelay: 5s\n\n      # alap\u00e9rtelmezett (a konfigur\u00e1ci\u00f3 \u00e9s az envoy bin\u00e1ris el\u00e9r\u00e9si \u00fatja)\n      configPath: \"\/etc\/istio\/proxy\"\n      binaryPath: \"\/usr\/local\/bin\/envoy\"\n\n      # alap\u00e9rtelmezett n\u00e9v a fut\u00f3 sidecar t\u00e1rol\u00f3nak (p\u00e9ld\u00e1ul a service nevekben a tracing spanok k\u00fcld\u00e9sekor haszn\u00e1latos)\n      serviceCluster: istio-proxy\n\n      # az az id\u0151, ameddig az envoy v\u00e1rni fog, miel\u0151tt k\u00e9nyszer\u00edtve bez\u00e1rja az \u00f6sszes l\u00e9tes\u00edtett kapcsolatot\n      drainDuration: 45s\n      parentShutdownDuration: 1m0s\n\n      # alap\u00e9rtelmez\u00e9s szerint REDIRECT iptables szab\u00e1lyokat haszn\u00e1lunk. \u00c1t\u00e1ll\u00edthat\u00f3 TPROXY-ra.\n      #interceptionMode: REDIRECT\n\n      # A port, ahol az admin panel fut minden sidecar t\u00e1rol\u00f3n (envoy)\n      proxyAdminPort: 15000\n\n      # az az c\u00edm, ahov\u00e1 a zipkin protokollal k\u00fcldj\u00fck a trace-eket (kezdetben lekapcsoltuk a k\u00fcld\u00e9st, ez\u00e9rt ez a mez\u0151 most nem lesz haszn\u00e1lva)\n      zipkinAddress: tracing-collector.tracing:9411\n\n      # statsd c\u00edm a metrics envoy t\u00e1rol\u00f3k k\u00fcld\u00e9s\u00e9re (lekapcsolva)\n      # statsdUdpAddress: aggregator:8126\n\n      # lekapcsoljuk a Mutual TLS opci\u00f3 t\u00e1mogat\u00e1s\u00e1t\n      controlPlaneAuthPolicy: NONE\n\n      # az a c\u00edm, ahol az istio-pilot hallgat, hogy inform\u00e1ci\u00f3t adjon a service discovery-r\u00f3l minden sidecar t\u00e1rol\u00f3nak\n      discoveryAddress: istio-pilot.istio-system:15007\n<\/code><\/pre>\n
      \nAz \u00f6sszes f\u0151 vez\u00e9rl\u0151komponenst (control plane) az istio-system namespace-ben helyezz\u00fck el a Kubernetesben.<\/p>\n
      Minimum sz\u00fcks\u00e9ges telep\u00edten\u00fcnk csak a Pilotot. Ehhez haszn\u00e1lni fogjuk ilyen konfigur\u00e1ci\u00f3t.<\/a><\/noindex><\/p>\n
      \u00c9s manu\u00e1lisan be\u00e1ll\u00edtjuk a sidecar t\u00e1rol\u00f3 injekt\u00e1l\u00e1s\u00e1t.<\/p>\n
      Init t\u00e1rol\u00f3:<\/p>\n
      initContainers:\n - name: istio-init\n   args:\n   - -p\n   - \"15001\"\n   - -u\n   - \"1337\"\n   - -m\n   - REDIRECT\n   - -i\n   - '*'\n   - -b\n   - '*'\n   - -d\n   - \"\"\n   image: istio\/proxy_init:1.0.0\n   imagePullPolicy: IfNotPresent\n   resources:\n     limits:\n       memory: 128Mi\n   securityContext:\n     capabilities:\n       add:\n       - NET_ADMIN\n<\/code><\/pre>\n
      \n\u00c9s sidecar:<\/p>\n
             name: istio-proxy\n       args:\n         - \"bash\"\n         - \"-c\"\n         - |\n           exec \/usr\/local\/bin\/pilot-agent proxy sidecar \n           --configPath \n           \/etc\/istio\/proxy \n           --binaryPath \n           \/usr\/local\/bin\/envoy \n           --serviceCluster \n           service-name \n           --drainDuration \n           45s \n           --parentShutdownDuration \n           1m0s \n           --discoveryAddress \n           istio-pilot.istio-system:15007 \n           --discoveryRefreshDelay \n           1s \n           --connectTimeout \n           10s \n           --proxyAdminPort \n           \"15000\" \n           --controlPlaneAuthPolicy \n           NONE\n         env:\n         - name: POD_NAME\n           valueFrom:\n             fieldRef:\n               fieldPath: metadata.name\n         - name: POD_NAMESPACE\n           valueFrom:\n             fieldRef:\n               fieldPath: metadata.namespace\n         - name: INSTANCE_IP\n           valueFrom:\n             fieldRef:\n               fieldPath: status.podIP\n         - name: ISTIO_META_POD_NAME\n           valueFrom:\n             fieldRef:\n               fieldPath: metadata.name\n         - name: ISTIO_META_INTERCEPTION_MODE\n           value: REDIRECT\n         image: istio\/proxyv2:1.0.0\n         imagePullPolicy: IfNotPresent\n         resources:\n           requests:\n             cpu: 100m\n             memory: 128Mi\n           limits:\n             memory: 2048Mi\n         securityContext:\n           privileged: false\n           readOnlyRootFilesystem: true\n           runAsUser: 1337\n         volumeMounts:\n         - mountPath: \/etc\/istio\/proxy\n           name: istio-envoy\n<\/code><\/pre>\n
      \nAhhoz, hogy minden sikeresen elinduljon, l\u00e9tre kell hozni egy ServiceAccount-ot, ClusterRole-t, ClusterRoleBinding-et, majd a Pilot CRD-t, amelyek le\u00edr\u00e1s\u00e1t megtal\u00e1lhatjuk. itt<\/a><\/noindex>. <\/p>\n
      Ennek eredm\u00e9nyek\u00e9nt a szolg\u00e1ltat\u00e1s, amelybe inject\u00e1ljuk a sidecart az envoy-jal, sikeresen elindul, megkapja az \u00f6sszes felfedez\u00e9si adatot a pilotb\u00f3l, \u00e9s feldolgozza a k\u00e9r\u00e9seket.<\/p>\n
      Fontos meg\u00e9rteni, hogy a control plane \u00f6sszes komponense stateless alkalmaz\u00e1sok, \u00e9s probl\u00e9mamentesen horizont\u00e1lisan sk\u00e1l\u00e1zhat\u00f3k. Minden adat az etcd-ben helyezkedik el egyedi Kubernetes er\u0151forr\u00e1s le\u00edr\u00e1sok form\u00e1j\u00e1ban.<\/p>\n
      Az Istio-nak (jelenleg k\u00eds\u00e9rleti \u00e1llapotban) van lehet\u0151s\u00e9ge a klaszteren k\u00edv\u00fcli fut\u00e1sra \u00e9s lehet\u0151s\u00e9g arra, hogy n\u00e9zzen \u00e9s ossza meg a szolg\u00e1ltat\u00e1s felfedez\u00e9st t\u00f6bb Kubernetes klaszter k\u00f6z\u00f6tt. T\u00f6bbet olvashat err\u0151l. itt<\/a><\/noindex>.<\/p>\n
      T\u00f6bb klaszteres telep\u00edt\u00e9sn\u00e9l figyelembe kell venni a k\u00f6vetkez\u0151 korl\u00e1toz\u00e1sokat:<\/p>\n
        \n
      1. A Pod CIDR \u00e9s a Service CIDR egyedinek kell lennie az \u00f6sszes klaszter k\u00f6z\u00f6tt, \u00e9s nem \u00fctk\u00f6zhetnek.<\/li>\n
      2. Minden Pod CIDR-nek el\u00e9rhet\u0151nek kell lennie minden Pod CIDR k\u00f6z\u00f6tt a klaszterek k\u00f6z\u00f6tt.<\/li>\n
      3. Minden Kubernetes API szervernek el\u00e9rhet\u0151nek kell lennie egym\u00e1s sz\u00e1m\u00e1ra.<\/li>\n<\/ol>\n
        \nEzek az alapvet\u0151 inform\u00e1ci\u00f3k seg\u00edtenek \u00d6nnek elkezdeni dolgozni az Istio-val. Azonban sz\u00e1mos buktat\u00f3 is v\u00e1r \u00d6nre. P\u00e9ld\u00e1ul a k\u00fcls\u0151 forgalom ir\u00e1ny\u00edt\u00e1s\u00e1nak saj\u00e1toss\u00e1gai (a klaszteren k\u00edv\u00fcl), a sidecar-ok hibakeres\u00e9s\u00e9nek megk\u00f6zel\u00edt\u00e9sei, profilk\u00e9pz\u00e9s, a mixer be\u00e1ll\u00edt\u00e1sa \u00e9s a testreszabott mixer backend \u00edr\u00e1sa, a tracing mechanizmus be\u00e1ll\u00edt\u00e1sa \u00e9s az envoy seg\u00edts\u00e9g\u00e9vel val\u00f3 m\u0171k\u00f6d\u00e9se.
        \nMind ezt a k\u00f6vetkez\u0151 publik\u00e1ci\u00f3kban meg fogjuk vizsg\u00e1lni. K\u00e9rj\u00fck, tegye fel k\u00e9rd\u00e9seit, megpr\u00f3b\u00e1lom azokat megv\u00e1laszolni.
        \n
        Forr\u00e1s:         habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
        \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 Istio? \u042d\u0442\u043e \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u044b\u0439 Service mesh, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0430\u0431\u0441\u0442\u0440\u0430\u043a\u0446\u0438\u0438 \u043d\u0430\u0434 \u0441\u0435\u0442\u044c\u044e. \u041c\u044b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0435\u043c \u0432\u0435\u0441\u044c \u0438\u043b\u0438 \u0447\u0430\u0441\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0432 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0435 \u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u0441 \u043d\u0438\u043c. \u041a\u0430\u043a\u043e\u0439 \u0438\u043c\u0435\u043d\u043d\u043e? \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0434\u0435\u043b\u0430\u0435\u043c \u0443\u043c\u043d\u044b\u0439 \u0440\u043e\u0443\u0442\u0438\u043d\u0433, \u0438\u043b\u0438 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u043c \u043f\u043e\u0434\u0445\u043e\u0434 circuit breaker, \u043c\u043e\u0436\u0435\u043c \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u044b\u0432\u0430\u0442\u044c \u00abcanary deployment\u00bb, \u0447\u0430\u0441\u0442\u0438\u0447\u043d\u043e \u043f\u0435\u0440\u0435\u043a\u043b\u044e\u0447\u0430\u044f \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u043d\u043e\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0441\u0435\u0440\u0432\u0438\u0441\u0430, \u0430 \u043c\u043e\u0436\u0435\u043c \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0442\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":24545,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hogyan ind\u00edtsuk el az Istio-t Kubernetes haszn\u00e1lat\u00e1val a production-ben. 1. r\u00e9sz | ProHoster","description":"Mi az az Istio? Ez egy \u00fagynevezett Service mesh, egy technol\u00f3gia, amely egy absztrakci\u00f3s szintet ad a h\u00e1l\u00f3zat f\u00f6l\u00e9.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-zapustit-istio-ispolzuya-kubernetes-v-production-chast-1","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c Istio, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f Kubernetes \u0432 production. \u0427\u0430\u0441\u0442\u044c 1 | ProHoster","og:description":"\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 Istio? \u042d\u0442\u043e \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u044b\u0439 Service mesh, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0430\u0431\u0441\u0442\u0440\u0430\u043a\u0446\u0438\u0438 \u043d\u0430\u0434 \u0441\u0435\u0442\u044c\u044e.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-zapustit-istio-ispolzuya-kubernetes-v-production-chast-1","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:48:48+00:00","article:modified_time":"2019-10-31T18:48:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"32766","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 12:27:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:53:24","updated":"2026-01-21 12:27:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/32766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=32766"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/32766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/24545"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=32766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=32766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=32766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}