Istio（1.0）内部复制集路由-支持Kubernetes部署中Pod之间的流量

Question

Istio如何支持同一服务（或ReplicaSet更具体地说）中的pod之间基于IP的路由？

我们希望部署一个带有副本的 Tomcat 应用程序

尽管我们的问题是由相当具体的需求驱动的，但主题是通用的。我们如何使pod在副本集中相互通信？

示例：作为展示，我们将演示应用程序部署 https://github.com/jgroups-extras/jgroups-kubernetes。相关内容是：

apiVersion: v1
items:
- apiVersion: extensions/v1beta1
  kind: Deployment
  metadata:
    name: ispn-perf-test
    namespace: my-non-istio-namespace
  spec:
    replicas: 3
< -- edited for brevity -- >

在没有Istio的情况下运行，三个pod将找到彼此并形成集群。在my-istio-namesspace中使用Istio部署相同的内容并添加基本服务定义：

kind: Service
apiVersion: v1
metadata:
  name: ispn-perf-test-service
  namespace: my-istio-namespace
spec:
  selector:
    run : ispn-perf-test
  ports:
  - protocol: TCP
    port: 7800
    targetPort: 7800
    name: "one"
  - protocol: TCP
    port: 7900
    targetPort: 7900
    name: "two"
  - protocol: TCP
    port: 9000
    targetPort: 9000
    name: "three"

请注意，下面的输出是宽的-您可能需要向右滚动才能获得IP

kubectl get pods -n my-istio-namespace -o wide
NAME                                                READY     STATUS    RESTARTS   AGE       IP            NODE
ispn-perf-test-558666c5c6-g9jb5                     2/2       Running   0          1d        10.44.4.63    gke-main-pool-4cpu-15gb-98b104f4-v9bl
ispn-perf-test-558666c5c6-lbvqf                     2/2       Running   0          1d        10.44.4.64    gke-main-pool-4cpu-15gb-98b104f4-v9bl
ispn-perf-test-558666c5c6-lhrpb                     2/2       Running   0          1d        10.44.3.22    gke-main-pool-4cpu-15gb-98b104f4-x8ln

kubectl get service ispn-perf-test-service -n my-istio-namespace
NAME                     TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)                      AGE
ispn-perf-test-service   ClusterIP   10.41.13.74   <none>        7800/TCP,7900/TCP,9000/TCP   1d

在https://istio . io/help/ops/traffic-management/proxy-cmd/# deep-dive-into-envoy-configuration的指导下，让我们来看看其中一个pod的结果Envoy配置:

istioctl proxy-config listeners ispn-perf-test-558666c5c6-g9jb5 -n my-istio-namespace
ADDRESS          PORT      TYPE
10.44.4.63       7900      TCP
10.44.4.63       7800      TCP
10.44.4.63       9000      TCP
10.41.13.74      7900      TCP
10.41.13.74      9000      TCP
10.41.13.74      7800      TCP
< -- edited for brevity -- >

Istio文档将上述侦听器描述为：

从侦听器 0.0.0.0_15001 接收相关 IP：端口对的出站非 HTTP 流量

这一切都是有道理的。pod ispn-perf-test-558666c5c6-g9jb5可以通过10.41.13.74在10.44.4.63和服务上到达自己。但是...如果pod将数据包发送到10.44.4.64或10.44.3.22?这些IP不存在于侦听器中，因此ispn-perf-test-558666c5c6-g9jb5无法访问两个“兄弟”pod。

Istio今天能支持这一点吗——然后如何支持？

Answer 1

你是对的，HTTP路由只支持通过服务名或服务VIP的本地访问或远程访问。

也就是说，对于上面的特定示例，如果服务端口被命名为“一”，“二”，“三”，则路由将是纯TCP，如此处所述。因此，您的示例应该有效。pod ispn-perf-test-558666c5c6-g9jb5 可以在 10.44.4.63 上到达自己，在 10.44.4.64 和 10.44.3.22 上到达其他 pod。

如果将端口重命名为“http-one”、“http-two”和“http-three”，则 HTTP 路由将启动，RDS 配置会将远程调用限制为使用已识别服务域的远程调用。

要查看RDF配置中的差异，请查看以下命令在端口名为“one”和更改为“http-one”时的输出。

istioctl proxy-config routes ispn-perf-test-558666c5c6-g9jb5 -n my-istio-namespace  --name 7800 -o json

对于名为“一”的端口，它将不返回任何路由，因此TCP路由将适用，但在“http一”的情况下，路由将受到限制。

我不知道在HTTP的情况下，是否有办法向RDS域添加额外的远程pod IP地址。我建议开一期Istio，看看有没有可能。