ഉൽപ്പാദനത്തിൽ കുബർനെറ്റസ് ഉപയോഗിച്ച് ഇസ്തിയോ എങ്ങനെ പ്രവർത്തിപ്പിക്കാം. ഭാഗം 1

എന്ത് ഇസ്തോ? ഇതാണ് സർവീസ് മെഷ് എന്ന് വിളിക്കപ്പെടുന്ന, നെറ്റ്‌വർക്കിൽ അമൂർത്തതയുടെ ഒരു പാളി ചേർക്കുന്ന സാങ്കേതികവിദ്യ. ക്ലസ്റ്ററിലെ എല്ലാ അല്ലെങ്കിൽ ഭാഗികമായ ട്രാഫിക്കും ഞങ്ങൾ തടസ്സപ്പെടുത്തുകയും അത് ഉപയോഗിച്ച് ഒരു നിശ്ചിത പ്രവർത്തനങ്ങൾ നടത്തുകയും ചെയ്യുന്നു. അതിൽ ഏത്? ഉദാഹരണത്തിന്, ഞങ്ങൾ സ്മാർട്ട് റൂട്ടിംഗ് നടത്തുന്നു, അല്ലെങ്കിൽ ഒരു സർക്യൂട്ട് ബ്രേക്കർ സമീപനം നടപ്പിലാക്കുന്നു, ഞങ്ങൾക്ക് “കാനറി വിന്യാസം” സംഘടിപ്പിക്കാം, സേവനത്തിന്റെ പുതിയ പതിപ്പിലേക്ക് ട്രാഫിക് ഭാഗികമായി മാറ്റാം, അല്ലെങ്കിൽ ഞങ്ങൾക്ക് ബാഹ്യ ഇടപെടലുകൾ പരിമിതപ്പെടുത്താനും ക്ലസ്റ്ററിൽ നിന്ന് പുറത്തേക്കുള്ള എല്ലാ യാത്രകളും നിയന്ത്രിക്കാനും കഴിയും. നെറ്റ്വർക്ക്. വ്യത്യസ്‌ത മൈക്രോസർവീസുകൾക്കിടയിലുള്ള യാത്രകൾ നിയന്ത്രിക്കുന്നതിന് നയപരമായ നിയമങ്ങൾ ക്രമീകരിക്കാൻ സാധിക്കും. അവസാനമായി, ഞങ്ങൾക്ക് മുഴുവൻ നെറ്റ്‌വർക്ക് ഇന്ററാക്ഷൻ മാപ്പും ക്യാപ്‌ചർ ചെയ്യാനും ഏകീകൃത മെട്രിക്‌സ് ശേഖരണം അപ്ലിക്കേഷനുകൾക്ക് പൂർണ്ണമായും സുതാര്യമാക്കാനും കഴിയും.

പ്രവർത്തന സംവിധാനത്തെക്കുറിച്ച് നിങ്ങൾക്ക് വായിക്കാം ഔദ്യോഗിക ഡോക്യുമെന്റേഷൻ. നിരവധി ജോലികളും പ്രശ്‌നങ്ങളും പരിഹരിക്കാൻ കഴിയുന്ന ശരിക്കും ശക്തമായ ഒരു ഉപകരണമാണ് ഇസ്തിയോ. ഈ ലേഖനത്തിൽ ഇസ്തിയോയുമായി പ്രവർത്തിക്കാൻ തുടങ്ങുമ്പോൾ സാധാരണയായി ഉണ്ടാകുന്ന പ്രധാന ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. ഇത് വേഗത്തിൽ നേരിടാൻ നിങ്ങളെ സഹായിക്കും.

ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നു

ഇസ്തിയോയിൽ രണ്ട് പ്രധാന സോണുകൾ അടങ്ങിയിരിക്കുന്നു - നിയന്ത്രണ തലം, ഡാറ്റാ തലം. നിയന്ത്രണ തലത്തിൽ ബാക്കിയുള്ളവയുടെ ശരിയായ പ്രവർത്തനം ഉറപ്പാക്കുന്ന പ്രധാന ഘടകങ്ങൾ അടങ്ങിയിരിക്കുന്നു. നിലവിലെ പതിപ്പിൽ (1.0), നിയന്ത്രണ വിമാനത്തിന് മൂന്ന് പ്രധാന ഘടകങ്ങൾ ഉണ്ട്: പൈലറ്റ്, മിക്സർ, സിറ്റാഡൽ. ഞങ്ങൾ സിറ്റാഡൽ പരിഗണിക്കില്ല; സേവനങ്ങൾക്കിടയിൽ മ്യൂച്വൽ TLS-ന്റെ പ്രവർത്തനം ഉറപ്പാക്കാൻ സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കേണ്ടത് ആവശ്യമാണ്. പൈലറ്റിന്റെയും മിക്‌സറിന്റെയും രൂപകൽപ്പനയും ഉദ്ദേശ്യവും നമുക്ക് അടുത്തറിയാം.

ക്ലസ്റ്ററിലെ സേവനങ്ങൾ, അവയുടെ അവസാന പോയിന്റുകൾ, റൂട്ടിംഗ് നിയമങ്ങൾ (ഉദാഹരണത്തിന്, കാനറി വിന്യാസത്തിനുള്ള നിയമങ്ങൾ അല്ലെങ്കിൽ സർക്യൂട്ട് ബ്രേക്കർ നിയമങ്ങൾ) എന്നിവയെക്കുറിച്ചുള്ള എല്ലാ വിവരങ്ങളും വിതരണം ചെയ്യുന്ന പ്രധാന നിയന്ത്രണ ഘടകമാണ് പൈലറ്റ്.

മെട്രിക്‌സ്, ലോഗുകൾ, നെറ്റ്‌വർക്ക് ഇന്ററാക്ഷനെക്കുറിച്ചുള്ള എല്ലാ വിവരങ്ങളും ശേഖരിക്കാനുള്ള കഴിവ് നൽകുന്ന ഒരു ഓപ്ഷണൽ കൺട്രോൾ പ്ലെയിൻ ഘടകമാണ് മിക്സർ. നയ നിയമങ്ങൾ പാലിക്കുന്നതും നിരക്ക് പരിധികൾ പാലിക്കുന്നതും അദ്ദേഹം നിരീക്ഷിക്കുന്നു.

സൈഡ്കാർ പ്രോക്സി കണ്ടെയ്നറുകൾ ഉപയോഗിച്ചാണ് ഡാറ്റാ പ്ലെയിൻ നടപ്പിലാക്കുന്നത്. സ്ഥിരസ്ഥിതി ശക്തമാണ് ദൂതൻ പ്രോക്സി സെർവർ. ഇത് മറ്റൊരു നടപ്പിലാക്കൽ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാം, ഉദാഹരണത്തിന് nginx (nginmesh).

ആപ്ലിക്കേഷനുകൾക്കായി ഇസ്തിയോ പൂർണ്ണമായും സുതാര്യമായി പ്രവർത്തിക്കുന്നതിന്, ഒരു ഓട്ടോമാറ്റിക് ഇഞ്ചക്ഷൻ സംവിധാനമുണ്ട്. ഏറ്റവും പുതിയ നടപ്പിലാക്കൽ, കുബർനെറ്റസ് പതിപ്പുകൾ 1.9+ (മ്യൂട്ടേഷണൽ അഡ്മിഷൻ വെബ്‌ഹുക്ക്)ക്ക് അനുയോജ്യമാണ്. കുബെർനെറ്റസ് 1.7, 1.8 പതിപ്പുകൾക്ക് ഇനിഷ്യലൈസർ ഉപയോഗിക്കാൻ കഴിയും.

ജിആർപിസി പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് സൈഡ്കാർ കണ്ടെയ്നറുകൾ പൈലറ്റിലേക്ക് കണക്റ്റുചെയ്യുന്നു, ഇത് ക്ലസ്റ്ററിൽ സംഭവിക്കുന്ന മാറ്റങ്ങൾ വരുത്തുന്നതിനുള്ള മോഡൽ ഒപ്റ്റിമൈസ് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. പതിപ്പ് 1.6 മുതൽ എൻവോയ്‌യിൽ ജിആർപിസി ഉപയോഗിക്കാൻ തുടങ്ങി, ഇസ്റ്റിയോയിൽ ഇത് പതിപ്പ് 0.8 മുതൽ ഉപയോഗിച്ചുവരുന്നു, ഇത് ഒരു പൈലറ്റ്-ഏജന്റ് ആണ് - ലോഞ്ച് പാരാമീറ്ററുകൾ കോൺഫിഗർ ചെയ്യുന്ന എൻവോയ് ഓവർ ഗോലാംഗ് റാപ്പർ.

പൈലറ്റും മിക്‌സറും പൂർണ്ണമായും സ്‌റ്റേറ്റ്‌ലെസ് ഘടകങ്ങളാണ്, എല്ലാ അവസ്ഥയും മെമ്മറിയിൽ സൂക്ഷിക്കുന്നു. അവയ്‌ക്കായുള്ള കോൺഫിഗറേഷൻ കുബെർനെറ്റസ് കസ്റ്റം റിസോഴ്‌സുകളുടെ രൂപത്തിലാണ് സജ്ജീകരിച്ചിരിക്കുന്നത്, അവ etcd-യിൽ സംരക്ഷിച്ചിരിക്കുന്നു.
ഇസ്തിയോ-ഏജന്റ് പൈലറ്റ് വിലാസം സ്വീകരിക്കുകയും അതിലേക്ക് ഒരു GRPC സ്ട്രീം തുറക്കുകയും ചെയ്യുന്നു.

ഞാൻ പറഞ്ഞതുപോലെ, ആപ്ലിക്കേഷനുകൾക്ക് പൂർണ്ണമായും സുതാര്യമായ എല്ലാ പ്രവർത്തനങ്ങളും ഇസ്തിയോ നടപ്പിലാക്കുന്നു. എങ്ങനെയെന്ന് നമുക്ക് കണ്ടുപിടിക്കാം. അൽഗോരിതം ഇതുപോലെയാണ്:

1. ഞങ്ങൾ സേവനത്തിന്റെ ഒരു പുതിയ പതിപ്പ് വിന്യസിക്കും.
2. കണ്ടെയ്‌നറിന്റെ സൈഡ്‌കാർ കുത്തിവയ്ക്കുന്നതിനുള്ള സമീപനത്തെ ആശ്രയിച്ച്, കോൺഫിഗറേഷൻ പ്രയോഗിക്കുന്ന ഘട്ടത്തിൽ istio-init കണ്ടെയ്‌നറും istio-ഏജന്റ് കണ്ടെയ്‌നറും (ദൂതൻ) ചേർക്കുന്നു, അല്ലെങ്കിൽ അവ ഇതിനകം തന്നെ കുബർനെറ്റസ് എന്റിറ്റിയുടെ പോഡ് വിവരണത്തിൽ നേരിട്ട് ചേർക്കാവുന്നതാണ്. .
3. പോഡിലേക്ക് iptables നിയമങ്ങൾ പ്രയോഗിക്കുന്ന ഒരു സ്ക്രിപ്റ്റാണ് istio-init കണ്ടെയ്നർ. istio-agent കണ്ടെയ്‌നറിൽ ട്രാഫിക് റാപ്പിംഗ് സജ്ജീകരിക്കുന്നതിന് രണ്ട് ഓപ്ഷനുകൾ ഉണ്ട്: iptables റീഡയറക്‌ട് നിയമങ്ങൾ ഉപയോഗിക്കുക, അല്ലെങ്കിൽ ടിപ്രോക്സി. എഴുതുന്ന സമയത്ത്, റീഡയറക്‌ട് നിയമങ്ങൾ ഉപയോഗിച്ചാണ് ഡിഫോൾട്ട് സമീപനം. ഏത് തരത്തിലുള്ള ട്രാഫിക്കാണ് തടസ്സപ്പെടുത്തേണ്ടതെന്നും istio-agent-ലേക്ക് അയയ്‌ക്കണമെന്നും കോൺഫിഗർ ചെയ്യാൻ Istio-init നിങ്ങളെ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, എല്ലാ ഇൻകമിംഗ്, ഔട്ട്ഗോയിംഗ് ട്രാഫിക്കും തടസ്സപ്പെടുത്തുന്നതിന്, നിങ്ങൾ പാരാമീറ്ററുകൾ സജ്ജമാക്കേണ്ടതുണ്ട് -i и -b അർത്ഥത്തിലേക്ക് *. തടസ്സപ്പെടുത്താൻ നിങ്ങൾക്ക് നിർദ്ദിഷ്ട പോർട്ടുകൾ വ്യക്തമാക്കാൻ കഴിയും. ഒരു നിർദ്ദിഷ്‌ട സബ്‌നെറ്റ് തടസ്സപ്പെടുത്താതിരിക്കാൻ, ഫ്ലാഗ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് അത് വ്യക്തമാക്കാൻ കഴിയും -x.
4. init കണ്ടെയ്‌നറുകൾ എക്‌സിക്യൂട്ട് ചെയ്‌ത ശേഷം, പൈലറ്റ്-ഏജന്റ് (ദൂതൻ) ഉൾപ്പെടെ പ്രധാനവ വിക്ഷേപിക്കുന്നു. ഇത് ഇതിനകം വിന്യസിച്ചിട്ടുള്ള ഒരു പൈലറ്റുമായി GRPC വഴി ബന്ധിപ്പിക്കുകയും ക്ലസ്റ്ററിലെ നിലവിലുള്ള എല്ലാ സേവനങ്ങളെയും റൂട്ടിംഗ് നയങ്ങളെയും കുറിച്ചുള്ള വിവരങ്ങൾ സ്വീകരിക്കുകയും ചെയ്യുന്നു. ലഭിച്ച ഡാറ്റ അനുസരിച്ച്, അദ്ദേഹം ക്ലസ്റ്ററുകൾ കോൺഫിഗർ ചെയ്യുകയും അവയെ കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ ഞങ്ങളുടെ ആപ്ലിക്കേഷനുകളുടെ എൻഡ് പോയിന്റുകളിലേക്ക് നേരിട്ട് നൽകുകയും ചെയ്യുന്നു. ഒരു പ്രധാന കാര്യം ശ്രദ്ധിക്കേണ്ടതും ആവശ്യമാണ്: ദൂതൻ അത് കേൾക്കാൻ തുടങ്ങുന്ന ശ്രോതാക്കളെ (ഐപി, പോർട്ട് ജോഡികൾ) ചലനാത്മകമായി കോൺഫിഗർ ചെയ്യുന്നു. അതിനാൽ, അഭ്യർത്ഥനകൾ പോഡിൽ പ്രവേശിക്കുകയും സൈഡ്‌കാറിലേക്ക് റീഡയറക്‌ട് iptables നിയമങ്ങൾ ഉപയോഗിച്ച് റീഡയറക്‌ട് ചെയ്യുകയും ചെയ്യുമ്പോൾ, ദൂതന് ഇതിനകം തന്നെ ഈ കണക്ഷനുകൾ വിജയകരമായി പ്രോസസ്സ് ചെയ്യാനും അടുത്തതായി എവിടെയാണ് ട്രാഫിക് പ്രോക്‌സി ചെയ്യേണ്ടതെന്ന് മനസ്സിലാക്കാനും കഴിയും. ഈ ഘട്ടത്തിൽ, വിവരങ്ങൾ മിക്‌സറിലേക്ക് അയയ്ക്കുന്നു, അത് ഞങ്ങൾ പിന്നീട് നോക്കും, കൂടാതെ ട്രെയ്‌സിംഗ് സ്പാനുകൾ അയയ്‌ക്കും.

തൽഫലമായി, ഞങ്ങൾക്ക് എൻവോയ് പ്രോക്സി സെർവറുകളുടെ ഒരു മുഴുവൻ നെറ്റ്‌വർക്ക് ലഭിക്കും, അത് നമുക്ക് ഒരു പോയിന്റിൽ നിന്ന് ക്രമീകരിക്കാൻ കഴിയും (പൈലറ്റ്). എല്ലാ ഇൻബൗണ്ട്, ഔട്ട്ബൗണ്ട് അഭ്യർത്ഥനകളും ദൂതൻ വഴിയാണ് പോകുന്നത്. മാത്രമല്ല, ടിസിപി ട്രാഫിക്ക് മാത്രമാണ് തടസ്സപ്പെടുന്നത്. കുബെർനെറ്റസ് സേവന ഐപി മാറ്റാതെ തന്നെ UDP വഴിയുള്ള kube-dns ഉപയോഗിച്ച് പരിഹരിച്ചിരിക്കുന്നു എന്നാണ് ഇതിനർത്ഥം. തുടർന്ന്, റെസല്യൂഷനുശേഷം, ഔട്ട്‌ഗോയിംഗ് അഭ്യർത്ഥന ഒരു ദൂതൻ തടസ്സപ്പെടുത്തുകയും പ്രോസസ്സ് ചെയ്യുകയും ചെയ്യുന്നു, അഭ്യർത്ഥന ഏത് അവസാന പോയിന്റിലേക്കാണ് അയയ്‌ക്കേണ്ടതെന്ന് തീരുമാനിക്കുന്നു (അല്ലെങ്കിൽ അയയ്‌ക്കാത്തത്, ആക്‌സസ് പോളിസികളുടെ കാര്യത്തിൽ അല്ലെങ്കിൽ സർക്യൂട്ട് ബ്രേക്കർ അൽഗോരിതം പ്രവർത്തനക്ഷമമാക്കിയാൽ).

ഞങ്ങൾ പൈലറ്റിനെ ക്രമീകരിച്ചു, മിക്സർ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും അത് എന്തിനാണ് ആവശ്യമെന്നും ഇപ്പോൾ നമ്മൾ മനസ്സിലാക്കേണ്ടതുണ്ട്. അതിന്റെ ഔദ്യോഗിക ഡോക്യുമെന്റേഷൻ നിങ്ങൾക്ക് വായിക്കാം ഇവിടെ.

മിക്സർ അതിന്റെ നിലവിലെ രൂപത്തിൽ രണ്ട് ഘടകങ്ങൾ ഉൾക്കൊള്ളുന്നു: istio-ടെലിമെട്രി, istio-policy (പതിപ്പ് 0.8-ന് മുമ്പ് ഇത് ഒരു istio-മിക്സർ ഘടകം ആയിരുന്നു). അവ രണ്ടും മിക്സറുകളാണ്, അവയിൽ ഓരോന്നിനും അതിന്റേതായ ചുമതലയുണ്ട്. ആരാണ് എവിടേക്കാണ്, എന്ത് പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് പോകുന്നു എന്നതിനെക്കുറിച്ചുള്ള സൈഡ്കാർ റിപ്പോർട്ട് കണ്ടെയ്‌നറുകളിൽ നിന്ന് ജിആർപിസി വഴി ഇസ്തിയോ ടെലിമെട്രിക്ക് വിവരങ്ങൾ ലഭിക്കുന്നു. പോളിസി നിയമങ്ങൾ പാലിക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കുന്നതിനുള്ള ചെക്ക് അഭ്യർത്ഥനകൾ ഇസ്തിയോ പോളിസി സ്വീകരിക്കുന്നു. പോളിസി ചെക്കുകൾ, തീർച്ചയായും, എല്ലാ അഭ്യർത്ഥനകൾക്കും വേണ്ടി നടത്തുന്നതല്ല, എന്നാൽ ഒരു നിശ്ചിത സമയത്തേക്ക് ക്ലയന്റിലേക്ക് (സൈഡ്കാറിൽ) കാഷെ ചെയ്യുന്നു. ബാച്ച് അഭ്യർത്ഥനകൾ വഴിയാണ് റിപ്പോർട്ട് ചെക്കുകൾ അയയ്ക്കുന്നത്. ഇത് എങ്ങനെ കോൺഫിഗർ ചെയ്യാമെന്നും കുറച്ച് കഴിഞ്ഞ് കൃത്യമായി ഏതൊക്കെ പാരാമീറ്ററുകൾ അയയ്ക്കണമെന്നും നമുക്ക് കാണാം.

ടെലിമെട്രി ഡാറ്റാ ശേഖരണത്തിന്റെയും പ്രോസസ്സിംഗിന്റെയും സുഗമമായ പ്രവർത്തനം ഉറപ്പാക്കുന്ന വളരെ ലഭ്യമായ ഒരു ഘടകമാണ് മിക്സർ ഉദ്ദേശിക്കുന്നത്. സിസ്റ്റം ഒരു മൾട്ടി-ലെവൽ ബഫറായി അവസാനിക്കുന്നു. തുടക്കത്തിൽ, ഡാറ്റ കണ്ടെയ്‌നറുകളുടെ സൈഡ്‌കാർ ഭാഗത്തും പിന്നീട് മിക്‌സർ ഭാഗത്തും ബഫർ ചെയ്‌ത് മിക്‌സർ ബാക്കെൻഡുകൾ എന്ന് വിളിക്കപ്പെടുന്നവയിലേക്ക് അയയ്‌ക്കുന്നു. തൽഫലമായി, ഏതെങ്കിലും സിസ്റ്റം ഘടകങ്ങൾ പരാജയപ്പെടുകയാണെങ്കിൽ, സിസ്റ്റം പുനഃസ്ഥാപിച്ചതിന് ശേഷം ബഫർ വളരുകയും ഫ്ലഷ് ചെയ്യുകയും ചെയ്യുന്നു. ടെലിമെട്രി ഡാറ്റ അയയ്‌ക്കുന്നതിനുള്ള അവസാന പോയിന്റുകളാണ് മിക്സർ ബാക്കെൻഡുകൾ: statsd, newrelic, മുതലായവ. നിങ്ങൾക്ക് നിങ്ങളുടെ സ്വന്തം ബാക്കെൻഡ് എഴുതാൻ കഴിയും, ഇത് വളരെ ലളിതമാണ്, അത് എങ്ങനെ ചെയ്യണമെന്ന് ഞങ്ങൾ കാണും.

ചുരുക്കത്തിൽ, istio-ടെലിമെട്രിയിൽ പ്രവർത്തിക്കുന്നതിനുള്ള സ്കീം ഇപ്രകാരമാണ്.

1. സേവനം 1 സേവനം 2-ലേക്ക് ഒരു അഭ്യർത്ഥന അയയ്ക്കുന്നു.
2. സേവനം 1 വിടുമ്പോൾ, അഭ്യർത്ഥന സ്വന്തം സൈഡ്കാറിൽ പൊതിഞ്ഞതാണ്.
3. സൈഡ്‌കാർ ദൂതൻ അഭ്യർത്ഥന സേവനം 2-ലേക്ക് പോകുന്നതെങ്ങനെയെന്ന് നിരീക്ഷിക്കുകയും ആവശ്യമായ വിവരങ്ങൾ തയ്യാറാക്കുകയും ചെയ്യുന്നു.
4. പിന്നീട് അത് റിപ്പോർട്ട് അഭ്യർത്ഥന ഉപയോഗിച്ച് istio-ടെലിമെട്രിയിലേക്ക് അയയ്ക്കുന്നു.
5. ഈ റിപ്പോർട്ട് ബാക്കെൻഡുകളിലേക്ക് അയയ്‌ക്കേണ്ടതുണ്ടോ, ഏതൊക്കെ, ഏതൊക്കെ ഡാറ്റയാണ് അയയ്‌ക്കേണ്ടതെന്ന് ഇസ്‌റ്റിയോ-ടെലിമെട്രി നിർണ്ണയിക്കുന്നു.
6. ആവശ്യമെങ്കിൽ Istio-ടെലിമെട്രി റിപ്പോർട്ട് ഡാറ്റ ബാക്കെൻഡിലേക്ക് അയയ്ക്കുന്നു.

പ്രധാന ഘടകങ്ങൾ (പൈലറ്റും സൈഡ്കാർ ദൂതനും) മാത്രം ഉൾക്കൊള്ളുന്ന സിസ്റ്റത്തിൽ ഇസ്തിയോ എങ്ങനെ വിന്യസിക്കാമെന്ന് ഇപ്പോൾ നോക്കാം.

ആദ്യം, പൈലറ്റ് വായിക്കുന്ന പ്രധാന കോൺഫിഗറേഷൻ (മെഷ്) നോക്കാം:

apiVersion: v1
kind: ConfigMap
metadata:
  name: istio
  namespace: istio-system
  labels:
    app: istio
    service: istio
data:
  mesh: |-

    # пока что не включаем отправку tracing информации (pilot настроит envoy’и таким образом, что отправка не будет происходить)
    enableTracing: false

    # пока что не указываем mixer endpoint’ы, чтобы sidecar контейнеры не отправляли информацию туда
    #mixerCheckServer: istio-policy.istio-system:15004
    #mixerReportServer: istio-telemetry.istio-system:15004

    # ставим временной промежуток, с которым будет envoy переспрашивать Pilot (это для старой версии envoy proxy)
    rdsRefreshDelay: 5s

    # default конфигурация для envoy sidecar
    defaultConfig:
      # аналогично как rdsRefreshDelay
      discoveryRefreshDelay: 5s

      # оставляем по умолчанию (путь к конфигурации и бинарю envoy)
      configPath: "/etc/istio/proxy"
      binaryPath: "/usr/local/bin/envoy"

      # дефолтное имя запущенного sidecar контейнера (используется, например, в именах сервиса при отправке tracing span’ов)
      serviceCluster: istio-proxy

      # время, которое будет ждать envoy до того, как он принудительно завершит все установленные соединения
      drainDuration: 45s
      parentShutdownDuration: 1m0s

      # по умолчанию используются REDIRECT правила iptables. Можно изменить на TPROXY.
      #interceptionMode: REDIRECT

      # Порт, на котором будет запущена admin панель каждого sidecar контейнера (envoy)
      proxyAdminPort: 15000

      # адрес, по которому будут отправляться trace’ы по zipkin протоколу (в начале мы отключили саму отправку, поэтому это поле сейчас не будет использоваться)
      zipkinAddress: tracing-collector.tracing:9411

      # statsd адрес для отправки метрик envoy контейнеров (отключаем)
      # statsdUdpAddress: aggregator:8126

      # выключаем поддержку опции Mutual TLS
      controlPlaneAuthPolicy: NONE

      # адрес, на котором будет слушать istio-pilot для того, чтобы сообщать информацию о service discovery всем sidecar контейнерам
      discoveryAddress: istio-pilot.istio-system:15007

ഞങ്ങൾ എല്ലാ പ്രധാന നിയന്ത്രണ ഘടകങ്ങളും കുബർനെറ്റസിലെ നെയിംസ്പേസ് istio-സിസ്റ്റത്തിൽ സ്ഥാപിക്കും.

കുറഞ്ഞത്, ഞങ്ങൾക്ക് പൈലറ്റിനെ വിന്യസിച്ചാൽ മതി. ഇതിനായി ഞങ്ങൾ ഉപയോഗിക്കും ഈ കോൺഫിഗറേഷൻ ഉപയോഗിച്ച്.

കണ്ടെയ്‌നറിന്റെ ഇഞ്ചക്ഷൻ സൈഡ്‌കാർ ഞങ്ങൾ സ്വമേധയാ കോൺഫിഗർ ചെയ്യും.

Init കണ്ടെയ്നർ:

initContainers:
 - name: istio-init
   args:
   - -p
   - "15001"
   - -u
   - "1337"
   - -m
   - REDIRECT
   - -i
   - '*'
   - -b
   - '*'
   - -d
   - ""
   image: istio/proxy_init:1.0.0
   imagePullPolicy: IfNotPresent
   resources:
     limits:
       memory: 128Mi
   securityContext:
     capabilities:
       add:
       - NET_ADMIN

ഒപ്പം സൈഡ്കാറും:

       name: istio-proxy
       args:
         - "bash"
         - "-c"
         - |
           exec /usr/local/bin/pilot-agent proxy sidecar 
           --configPath 
           /etc/istio/proxy 
           --binaryPath 
           /usr/local/bin/envoy 
           --serviceCluster 
           service-name 
           --drainDuration 
           45s 
           --parentShutdownDuration 
           1m0s 
           --discoveryAddress 
           istio-pilot.istio-system:15007 
           --discoveryRefreshDelay 
           1s 
           --connectTimeout 
           10s 
           --proxyAdminPort 
           "15000" 
           --controlPlaneAuthPolicy 
           NONE
         env:
         - name: POD_NAME
           valueFrom:
             fieldRef:
               fieldPath: metadata.name
         - name: POD_NAMESPACE
           valueFrom:
             fieldRef:
               fieldPath: metadata.namespace
         - name: INSTANCE_IP
           valueFrom:
             fieldRef:
               fieldPath: status.podIP
         - name: ISTIO_META_POD_NAME
           valueFrom:
             fieldRef:
               fieldPath: metadata.name
         - name: ISTIO_META_INTERCEPTION_MODE
           value: REDIRECT
         image: istio/proxyv2:1.0.0
         imagePullPolicy: IfNotPresent
         resources:
           requests:
             cpu: 100m
             memory: 128Mi
           limits:
             memory: 2048Mi
         securityContext:
           privileged: false
           readOnlyRootFilesystem: true
           runAsUser: 1337
         volumeMounts:
         - mountPath: /etc/istio/proxy
           name: istio-envoy

എല്ലാം വിജയകരമായി ആരംഭിക്കുന്നതിന്, നിങ്ങൾ ഒരു ServiceAccount, ClusterRole, ClusterRoleBinding, CRD എന്നിവ സൃഷ്ടിക്കേണ്ടതുണ്ട്, ഇതിന്റെ വിവരണങ്ങൾ കണ്ടെത്താനാകും. ഇവിടെ.

തൽഫലമായി, ദൂതൻ ഉപയോഗിച്ച് ഞങ്ങൾ സൈഡ്കാർ കുത്തിവയ്ക്കുന്ന സേവനം വിജയകരമായി സമാരംഭിക്കുകയും പൈലറ്റിൽ നിന്ന് എല്ലാ കണ്ടെത്തലുകളും സ്വീകരിക്കുകയും അഭ്യർത്ഥനകൾ പ്രോസസ്സ് ചെയ്യുകയും വേണം.

എല്ലാ നിയന്ത്രണ തലം ഘടകങ്ങളും സ്‌റ്റേറ്റ്‌ലെസ് ആപ്ലിക്കേഷനുകളാണെന്നും പ്രശ്‌നങ്ങളില്ലാതെ തിരശ്ചീനമായി സ്കെയിൽ ചെയ്യാമെന്നും മനസ്സിലാക്കേണ്ടത് പ്രധാനമാണ്. കുബെർനെറ്റസ് വിഭവങ്ങളുടെ ഇഷ്‌ടാനുസൃത വിവരണങ്ങളുടെ രൂപത്തിൽ എല്ലാ ഡാറ്റയും etcd-യിൽ സംഭരിച്ചിരിക്കുന്നു.

ഒരു ക്ലസ്റ്ററിന് പുറത്ത് പ്രവർത്തിക്കാനുള്ള കഴിവും നിരവധി കുബർനെറ്റസ് ക്ലസ്റ്ററുകൾക്കിടയിൽ സേവന കണ്ടെത്തലുകൾ കാണാനും പങ്കിടാനുമുള്ള കഴിവും ഇസ്തിയോയ്ക്ക് (ഇപ്പോഴും പരീക്ഷണാത്മകമാണ്) ഉണ്ട്. നിങ്ങൾക്ക് ഇതിനെക്കുറിച്ച് കൂടുതൽ വായിക്കാം ഇവിടെ.

ഒരു മൾട്ടി-ക്ലസ്റ്റർ ഇൻസ്റ്റാളേഷനായി, ഇനിപ്പറയുന്ന പരിമിതികൾ പരിഗണിക്കുക:

1. പോഡ് സിഐഡിആറും സർവീസ് സിഐഡിആറും എല്ലാ ക്ലസ്റ്ററുകളിലും അദ്വിതീയമായിരിക്കണം കൂടാതെ ഓവർലാപ്പ് പാടില്ല.
2. എല്ലാ Pod CIDR-കളും ക്ലസ്റ്ററുകൾക്കിടയിലുള്ള ഏതെങ്കിലും Pod CIDR-കളിൽ നിന്ന് എത്തിച്ചേരാവുന്നതായിരിക്കണം.
3. എല്ലാ Kubernetes API സെർവറുകളും പരസ്പരം ആക്‌സസ് ചെയ്യാവുന്നതായിരിക്കണം.

ഇസ്തിയോ ഉപയോഗിച്ച് ആരംഭിക്കാൻ നിങ്ങളെ സഹായിക്കുന്നതിനുള്ള അടിസ്ഥാന ആമുഖമാണിത്. എന്നിരുന്നാലും, ഇപ്പോഴും നിരവധി അപകടങ്ങളുണ്ട്. ഉദാഹരണത്തിന്, ബാഹ്യ ട്രാഫിക് (ക്ലസ്റ്ററിന് പുറത്ത്) റൂട്ടിംഗ് സവിശേഷതകൾ, സൈഡ്കാറുകൾ ഡീബഗ്ഗിംഗ് ചെയ്യുന്നതിനുള്ള സമീപനങ്ങൾ, പ്രൊഫൈലിംഗ്, ഒരു മിക്സർ സജ്ജീകരിക്കുകയും ഒരു ഇഷ്‌ടാനുസൃത മിക്സർ ബാക്കെൻഡ് എഴുതുകയും ചെയ്യുക, ട്രെയ്‌സിംഗ് മെക്കാനിസം സജ്ജീകരിക്കുകയും ദൂതനെ ഉപയോഗിച്ചുള്ള അതിന്റെ പ്രവർത്തനവും.
ഇനിപ്പറയുന്ന പ്രസിദ്ധീകരണങ്ങളിൽ ഇതെല്ലാം ഞങ്ങൾ പരിഗണിക്കും. നിങ്ങളുടെ ചോദ്യങ്ങൾ ചോദിക്കുക, ഞാൻ അവ വ്യക്തമാക്കാൻ ശ്രമിക്കും.

അവലംബം: www.habr.com