Control Egress TCP Traffic

Control Egress Traffic task 演示了在服务网格内的应用如何访问外部（k8s集群外）的HTTP和HTTPS服务。快速提醒：默认情况下，启用Istio的应用不能访问集群外部的URL。为了启用这种访问，必须定义 egress rules ，或者必须经过配置direct access to external services （直接访问外部服务）。
这个task描述了如何针对Istio服务网格内的应用配置Istio来暴露外部TCP服务。

Before you begin

• 安装Istio
• 启动 sleep 示例应用，作为外部调用的测试源。

kubectl apply -f <(istioctl kube-inject -f samples/sleep/sleep.yaml)

注意： 任何你能执行 curl 的pod都可以

Using Istio egress rules for external TCP traffic

在这个task中，我们通过应用发起HTTPS来访问 wikipedia.org 。这个task演示了应用程序无法通过sidecar proxy使用带有TLS的HTTP的用例。通过sidecar proxy使用带有TLS的HTTP在 Control Egress Traffic task中有介绍。在那个task中，请求 https://google.com 需要发送HTTP请求到 http://www.google.com:443。

应用的HTTPS始发流量将被Istio当作 opaque （不透明的）TCP。为了启用这样的流量，我们在443端口定义了一个TCP egress rule。

在TCP egress rules中，与基于HTTP的egress rules相反，目标由IP或IP地址块以CIDR表示法指定。

为了示例的目的，我们假设我们向通过域名访问 wikipedia.org 。这意味着我们必须在我们的TCP egress rules中指定 wikipedia.org 的所有IP。幸运的是， wikipedia.org 的IP发布在 here。这是一列用 CIDR notation 表示的IP地址块： 91.198.174.192/27, 103.102.166.224/27 ，当然还有更多。我们必须在一个egress rule中定义每个IP地址块。

相反，如果我们想通过一个IP访问 wikipedia.org ，就只需定义带那个IP的egress rule即可。

Creating egress rules

让我们为能够TCP访问 wikipedia.org 创建egress rules：

cat <<EOF | istioctl create -f -
kind: EgressRule
metadata:
  name: wikipedia-range1
spec:
  destination:
      service: 91.198.174.192/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range2
spec:
  destination:
      service: 103.102.166.224/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range3
spec:
  destination:
      service: 198.35.26.96/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range4
spec:
  destination:
      service: 208.80.153.224/27
  ports:
      - port: 443
        protocol: tcp
---
kind: EgressRule
metadata:
  name: wikipedia-range5
spec:
  destination:
      service: 208.80.154.224/27
  ports:
      - port: 443
        protocol: tcp
EOF

这个命令行将创建5个egress rules，每个rule都是 wikipedia.org 的不同IP地址块。注意 — (三个破折号)分隔egress rules。这是流中 YAML separator between documents （YAML文档间的分隔符）。它让我们使用一个 istioctl 命令创建多个配置产物。

Access wikipedia.org by HTTPS

1.kubectl exec 进入作为测试源的pod中。如果你使用 sleep 应用，运行如下命令：

kubectl exec -it $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep bash

2.发送一个请求并确认我们能够成功访问 https://www.wikipedia.org：

curl -o /dev/null -s -w "%{http_code}\n" https://www.wikipedia.org

200

我们应该能看到输出打印 200 ，代表HTTP状态码 OK。

3.现在我们用英语获取维基百科上可用文章的当前数量：

curl -s https://en.wikipedia.org/wiki/Main_Page | grep articlecount | grep 'Special:Statistics'

输出类似：

<div id="articlecount" style="font-size:85%;"><a href="/wiki/Special:Statistics" title="Special:Statistics">5,563,121</a> articles in <a  href="/wiki/English_language" title="English language">English</a></div>

这意味着当这个task书写时，维基上由 5,563,121篇文章。

Cleanup

• 移除我们创建的egress rules。

istioctl delete egressrule wikipedia-range1 wikipedia-range2 wikipedia-range3 wikipedia-range4 wikipedia-range5 -n default

• 关闭 sleep 应用。

kubectl delete -f samples/sleep/sleep.yaml