Control Egress TCP Traffic

Control Egress Traffic task 演示了在服务网格内的应用如何访问外部(k8s集群外)的HTTP和HTTPS服务。快速提醒:默认情况下,启用Istio的应用不能访问集群外部的URL。为了启用这种访问,必须定义 egress rules ,或者必须经过配置direct access to external services (直接访问外部服务)。
这个task描述了如何针对Istio服务网格内的应用配置Istio来暴露外部TCP服务。

Before you begin

  • 安装Istio
  • 启动 sleep 示例应用,作为外部调用的测试源。
kubectl apply -f <(istioctl kube-inject -f samples/sleep/sleep.yaml)

注意: 任何你能执行 curl 的pod都可以

Using Istio egress rules for external TCP traffic

在这个task中,我们通过应用发起HTTPS来访问 wikipedia.org 。这个task演示了应用程序无法通过sidecar proxy使用带有TLS的HTTP的用例。通过sidecar proxy使用带有TLS的HTTP在 Control Egress Traffic task中有介绍。在那个task中,请求 https://google.com 需要发送HTTP请求到 http://www.google.com:443

应用的HTTPS始发流量将被Istio当作 opaque (不透明的)TCP。为了启用这样的流量,我们在443端口定义了一个TCP egress rule。

在TCP egress rules中,与基于HTTP的egress rules相反,目标由IP或IP地址块以CIDR表示法指定。

为了示例的目的,我们假设我们向通过域名访问 wikipedia.org 。这意味着我们必须在我们的TCP egress rules中指定 wikipedia.org 的所有IP。幸运的是, wikipedia.org 的IP发布在 here。这是一列用 CIDR notation 表示的IP地址块: 91.198.174.192/27, 103.102.166.224/27 ,当然还有更多。我们必须在一个egress rule中定义每个IP地址块。

相反,如果我们想通过一个IP访问 wikipedia.org ,就只需定义带那个IP的egress rule即可。

Creating egress rules

让我们为能够TCP访问 wikipedia.org 创建egress rules:

cat <<EOF | istioctl create -f -
kind: EgressRule
metadata:
  name: wikipedia-range1
spec:
  destination:
      service: 91.198.174.192/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range2
spec:
  destination:
      service: 103.102.166.224/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range3
spec:
  destination:
      service: 198.35.26.96/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range4
spec:
  destination:
      service: 208.80.153.224/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range5
spec:
  destination:
      service: 208.80.154.224/27
  ports:
      - port: 443
        protocol: tcp
EOF

这个命令行将创建5个egress rules,每个rule都是 wikipedia.org 的不同IP地址块。注意 — (三个破折号)分隔egress rules。这是流中 YAML separator between documents (YAML文档间的分隔符)。它让我们使用一个 istioctl 命令创建多个配置产物。

Access wikipedia.org by HTTPS

1.kubectl exec 进入作为测试源的pod中。如果你使用 sleep 应用,运行如下命令:

kubectl exec -it $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep bash

2.发送一个请求并确认我们能够成功访问 https://www.wikipedia.org

curl -o /dev/null -s -w "%{http_code}\n" https://www.wikipedia.org
200

我们应该能看到输出打印 200 ,代表HTTP状态码 OK

3.现在我们用英语获取维基百科上可用文章的当前数量:

curl -s https://en.wikipedia.org/wiki/Main_Page | grep articlecount | grep 'Special:Statistics'

输出类似:

<div id="articlecount" style="font-size:85%;"><a href="/wiki/Special:Statistics" title="Special:Statistics">5,563,121</a> articles in <a  href="/wiki/English_language" title="English language">English</a></div>

这意味着当这个task书写时,维基上由 5,563,121篇文章。

Cleanup

  • 移除我们创建的egress rules。
istioctl delete egressrule wikipedia-range1 wikipedia-range2 wikipedia-range3 wikipedia-range4 wikipedia-range5 -n default
  • 关闭 sleep 应用。
kubectl delete -f samples/sleep/sleep.yaml
阅读更多
个人分类: 翻译
想对作者说点什么? 我来说一句

没有更多推荐了,返回首页

关闭
关闭
关闭