istio、fortio、envoy

dynamic_active_listeners-->listener--->filter_chains -->filters-->filters下的name-->filters下的typed_config--->rds--->route_config_name-->dynamic_route_configs--->route_config(下的name)--->route_config下的virtual_hosts-->routes--->route--->cluster-->服务名-路由规则名称在cluster中--->dynamic_active_clusters--->cluster--->name--->

24.type类型和crd的对应关系：

type为：ClustersConfigDump下，看DestinationRule的内容；

25.crd更新的顺序

CDS –> EDS –> LDS –> RDS

26.

一份好吃的 Istio 入门餐

27.Istio原理简介验证

istio 原理简介验证 Istio 的 CRD

28.istio注入机制

Istio Sidecar 注入机制 :: Yingchi Blog

29.istio的应用：

Istioldie 1.15 / 入门

30.k8s中文社区-网关

如何理解 Istio Ingress，它与 API Gateway 有什么区别？ · Jimmy Song

Istio 网关之南北向流量管理（内含服务网格专家亲自解答）_Kubernetes中文社区

31.虚机上部署sidecar

istio traffic: 虚拟机上部署 sidecar ，从而加入到服务网格

32.k8s gateway 暴露mesh服务

Gateway · Kubernetes 中文指南——云原生应用架构实战手册

如何理解 Istio Ingress，它与 API Gateway 有什么区别？ · Jimmy Song

33.k8s ingress 暴露mesh服务

Ingress | Kubernetes

Istio / Kubernetes Ingress

34.istio.io/rev是什么意思

升级 - Istio 服务网格进阶实战 - 开发文档 - 文江博客

35.TPROXY

绿色记忆:Istio中的透明代理问题

36.授权策略

服务网格 Authorization 授权策略配置-操作指南-文档中心-腾讯云

37.压测工具k6

38.webhook相关

IBM Cloud Docs

39.istio-proxy通过initcontainer设置iptables规则：

链接：https://www.cnblogs.com/573583868wuy/articles/16552118.html

iptables流量拦截流程：

(1)进入Pod的Inbound流量首先被PREROUTING链拦截并处理。

(2)PREROUTING链处理规则(-A PREROUTING -p tcp -j ISTIO_INBOUND)拦截TCP数据包，将其转到ISTIO_INBOUND链处理。

(3)ISTIO_INBOUND链处理规则(-A ISTIO_INBOUND -p tcp -j ISTIO_IN_REDIRECT)将TCP数据包交给ISTIO_IN_REDIRECT链处理。

(4)ISTIO_IN_REDIRECT链处理规则(-A ISTIO_IN_REDIRECT -p tcp -j REDIRECT --to-ports 15006)将数据包重定向到15006端口，交给Envoy的 Inbound Handler处理。

(5)Envoy根据数据包的目的地址查看Inbound方向的监听器配置，根据监听器及路由、Cluster、Endpoint等配置，决定是否将数据包转发到应用。OUTPUT链规则(-A OUTPUT -p tcp -j ISTIO_OUTPUT)将TCP数据包交给ISTIO_OUTPUT链处理。

(6)ISTIO_OUTPUT链，按顺序匹配到第4条规则(-A ISTIO_OUTPUT -m owner --uid-owner 1337 -j RETURN)，直接返回uid是1337的数据包，不再执行ISTIO_OUTPUT链的后续规则，数据包随后到达应用进程。(所有数据包流出网卡时都要先进入 POSTROUTING 链(未作任何处理)，内核根据数据包目的地判断是否需要转发出去)。

(7)应用处理完成后，发送响应数据包，被OUTPUT链拦截处理。

(8)OUTPUT链规则(-A OUTPUT -p tcp -j ISTIO_OUTPUT)将TCP数据包交给ISTIO_OUTPUT链处理。

(9)ISTIO_OUTPUT链匹配最后一条规则(-A ISTIO_OUTPUT -j ISTIO_REDIRECT)，将数据包交给ISTIO_REDIRECT链处理。

(10)ISTIO_REDIRECT链规则(-A ISTIO_REDIRECT -p tcp -j REDIRECT --to-ports 15001)将TCP数据包重定向到15001端口，交给Envoy的Outbound Handler处理。

(11)Envoy根据数据包的目的地址查看Outbound方向的监听器配置，根据监听器及路由、Cluster、Endpoint等配置，决定是否将数据包向外转发。

(12)Envoy向外发送的数包同样先被OUTPUT链拦截，与流程6和9的处理相同，数据包被OUTPUT链处理完成后交由ISTIO_OUTPUT链处理。然后透传 Envoy 代理发出的出站请求，最终直接访问目的地。