Istio 流量劫持

运用服务网格的好处，就是不用修改本身应用的任何代码，就可以实现重试、重试、注册、发现、故障注入等等的能力，而且对开发语言、框架都是没有任何限定统一的技术栈的，那么为什么服务网格那么厉害可以做到那么透明呢，不用修改应用的任何代码让应用获得服务的治理能力呢，我们一起了解一下吧！

Envoy 边车模式

Istio的数据平面是由多个应用容器（App）加边车容器（Envoy）的Pods组成的，可以参考我之前的文章 - Istio 项目介绍， Istio Envoy 的工作原理就是通过 Kubernetes Pods的共享NameSpace特性，把边车容器与应用容器"绑定"在一起，并且通过 iptables 修改应用容器的进出流量都需要经过Envoy，在Envoy上进行流量的管控从而实现服务的治理能力。 这也是在代码开发中，经常使用的"边车模式"。

iptables 流量劫持

上诉我们已经知道了通过iptables修改流量的走向，让Envoy去接管流量从而实现服务的治理能力，那么iptables是如何修改进去Pods中的呢，可以参考我之前的文章 - Istio 注入原理，通过对原来的资源定义清单进行修改后实施，从而附加上 Envoy 容器以及 Init 容器，Iptables