istio組件介紹和啟動流程

Istio各個Deployment包含的容器組件

Deployment 名稱Container和PortContainer和Port
istio-pilot pilot: 8080,15010 proxyv2: 15003,15005,15007
istio-galley galley: 443,9093
istio-egressgateway proxyv2: 80,443,15090
istio-ingressgateway proxyv2: 80,443,31400,15011,8060,853,15030,15031,15090
grafana grafana: 3000
istio-policy mixer: 9093,42422 proxyv2: 9091,15004,15090
istio-telemetry mixer: 9093,42422 proxyv2: 9091,15004,15090
prometheus prometheus: 9090
istio-citadel citadel: 8086
istio-sidecar-injector sidecar-injector
istio-tracing jaegertracing/all-in-one: 9411,16686 UDP:5775,6832,6831
istio-ingress proxyv2: 80,443

其中，流量的走向如下圖所示：

創(chuàng)新互聯(lián)公司主營咸寧網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司,主營網(wǎng)站建設(shè)方案,重慶APP開發(fā)公司,咸寧h5微信平臺小程序開發(fā)搭建,咸寧網(wǎng)站營銷推廣歡迎咸寧等地區(qū)企業(yè)咨詢

istio組件介紹和啟動流程

說明：紅色線表示控制流，黑色線表示數(shù)據(jù)流，藍(lán)色部分為Envoy和pilot相關(guān)組件

Istio核心組件與功能

istio主要有兩部分組成： 控制面和數(shù)據(jù)面。

  • 數(shù)據(jù)面被稱為Sidecar: 會在業(yè)務(wù)Pod中注入一個容器，劫持業(yè)務(wù)應(yīng)用容器的流量，并接受控制組件的控制，同時會向控制組件輸出日志，跟蹤及監(jiān)控數(shù)據(jù)。
  • 控制面是Istio的核心，管理Istio的所有功能。

Pilot:Istio的核心流量控制組件，主要負(fù)責(zé)流量管理。Pilot管理了所有Envoy的代理實(shí)例（Sidecar），主要有以下功能：

  • 從K8S或者其它平臺注冊中心回去服務(wù)信息，完成服務(wù)發(fā)現(xiàn)
  • 讀取Istio的各項(xiàng)控制配置，在進(jìn)行裝換后將其發(fā)給數(shù)據(jù)組件進(jìn)行實(shí)施。
  • 數(shù)據(jù)組件Sidecar根據(jù)Pilot指令，完成 路由、服務(wù)、監(jiān)聽、集群等配置。

Mixer:主要是預(yù)檢查和匯報工作，策略控制，監(jiān)控，和日志收集等。主要工作流程如下：

  • 用戶將Mixer配置發(fā)送到Kubernetes集群中
  • Mixer通過對集群資源的監(jiān)聽，獲取配置的變化。
  • 網(wǎng)格中的服務(wù)每次在調(diào)用前，都會向Mixer發(fā)出預(yù)檢請求，查看是否允許執(zhí)行。在服務(wù)完成調(diào)用后，會向Mixer發(fā)出報告信息，匯報在調(diào)用過程中產(chǎn)生的監(jiān)控跟蹤數(shù)據(jù)。
  • Mixer 中包含多個Adapter的組件，這些組件來處理在Mixer中接收的預(yù)檢報告數(shù)據(jù)，完成Mixer的各項(xiàng)功能。

Citadel:主要用于證書管理和身份認(rèn)證。

Sidecar(Envoy):Istio中的數(shù)據(jù)面，負(fù)責(zé)控制對服務(wù)網(wǎng)格控制的實(shí)際執(zhí)行。

  • Istio中默認(rèn)的Sidecar是由Envoy派生出的，實(shí)際理論上只要支持Envoy的xDS協(xié)議（x descovery service 各類服務(wù)發(fā)現(xiàn)的總稱），其他類似的反向代理軟件就能替代Envoy來擔(dān)當(dāng)此角色。
  • Istio 利用istio-init初始化容器中的iptables指令，對所在Pod的流量進(jìn)行劫持，從而接管Pod應(yīng)用中的通信。
  • Sidecar在注入到Pod之后，將原有的源容器 -> 目標(biāo)容器的通信方式改變?yōu)?源容器 -> Sidecar -> Sidecar -> 目標(biāo)容器。

數(shù)據(jù)面組件

Istio通過K8s的Admission webhook[9]機(jī)制實(shí)現(xiàn)了sidecar的自動注入，Mesh中的每個微服務(wù)pod會被加入Envoy相關(guān)的容器。
除了微服務(wù)自身的容器外，istio還在Pod中注入proxy_init和proxyv2 兩個容器。其中proxyv2容器中運(yùn)行的兩個進(jìn)程是數(shù)據(jù)面的核心。

proxy_init

proxy_init是一個initContainer, 主要用于在啟動Pod前做一些初始化的工作，只有當(dāng)InitContainer執(zhí)行成功之后，才會啟動Pod中的其他container。

可以通過docker inspect 命令，來獲取此容器鏡像的元數(shù)據(jù)：

...
           "Env": [
                "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
            ],
            "Cmd": [
                "/bin/sh",
                "-c",
                "#(nop) COPY file:1e5fc95e10f8888f4cae33f7e0ea42b5aff9d18d36280ae288a0fee948dc18e1 in / "
            ],
            "ArgsEscaped": true,
            "Image": "sha256:e261e1418e2ed94d1de1742d80997cc58f96aa3c4bfc56cd50e7f2848bf5bcf6",
            "Volumes": null,
            "WorkingDir": "",
            "Entrypoint": [
                "/usr/local/bin/istio-iptables.sh"
            ],

...

從上面的命令行輸出可以看到，Proxy_init中執(zhí)行的命令是istio-iptables.sh腳本，腳本具體內(nèi)容可以直接從已存在的容器拷貝出來進(jìn)行查看：

docker cp cbbaf5413d04:/usr/local/bin/istio-iptables.sh ./

這個腳本主要設(shè)置了Istio sidecar的iptables端口轉(zhuǎn)發(fā)規(guī)則。

proxyv2

伴隨著業(yè)務(wù)容器長久運(yùn)行的注入容器是istio-proxy，這個容器負(fù)責(zé)截取POD中所有流入流出的流量。
通過如下命令，可以看到在此容器中運(yùn)行的進(jìn)程：

[root@k8s-node-1 ~]# kubectl exec reviews-v3-748456d47b-6jvsp -c istio-proxy -- ps -ef
UID        PID  PPID  C STIME TTY          TIME CMD
istio-p+     1     0  0 02:26 ?        00:00:00 /usr/local/bin/pilot-agent proxy sidecar --configPath /etc/istio/proxy --binaryPath /usr/local/bin/envoy --serviceCluster reviews --drainDuration 45s --parentShutdownDuration 1m0s --discoveryAddress istio-pilot.istio-system:15007 --discoveryRefreshDelay 1s --zipkinAddress zipkin.istio-system:9411 --connectTimeout 10s --proxyAdminPort 15000 --controlPlaneAuthPolicy NONE
istio-p+    16     1  0 02:26 ?        00:03:37 /usr/local/bin/envoy -c /etc/istio/proxy/envoy-rev0.json --restart-epoch 0 --drain-time-s 45 --parent-shutdown-time-s 60 --service-cluster reviews --service-node sidecar~10.2.53.61~reviews-v3-748456d47b-6jvsp.default~default.svc.cluster.local --max-obj-name-len 189 --allow-unknown-fields -l warn --v2-config-only
istio-p+    39     0  0 13:07 ?        00:00:00 ps -ef

這個容器中主要運(yùn)行了兩個進(jìn)程：

  • pilot-agent： 負(fù)責(zé)生成Envoy啟動所需的配置文件，指定了連接istio控制面的服務(wù)和端口，并負(fù)責(zé)啟動Envoy進(jìn)程。
  • envoy：其中指定的/etc/istio/proxy/envoy-rev0.json文件是當(dāng)前pod的網(wǎng)絡(luò)流量的核心配置，通過此文件獲取pilot的地址，其中記錄了當(dāng)前的POD信息和流量的轉(zhuǎn)發(fā)規(guī)則，pilot會與其建立長連接，并向其推送最新更新的網(wǎng)絡(luò)策略。

通過對envoy-rev0.json文件進(jìn)行分析，我們可以發(fā)現(xiàn)其主要包含了如下幾個部分：

  • node: 包含了當(dāng)前Pod信息，包括ID，IP，servicename,namespace等。
  • stats_config：定義了一些命名規(guī)則和對應(yīng)的正則參數(shù)
  • admin：給出了一組本地IP 127.0.0.1和15000管理端口，可以登錄此容器執(zhí)行curl http://127.0.0.1:15000/help 獲取當(dāng)前POD的接口和狀態(tài)信息
  • dynamic_resources：定義了xDS的服務(wù)發(fā)現(xiàn)配置
  • static_resources：定義了連接控制面的信息，包括連接pilot組件的服務(wù)地址，以及超時時間設(shè)置和連接數(shù)限制等配置信息。
  • tracing：主要定義了zipkin的接口等信息，用于追蹤業(yè)務(wù)流量的走向。

登錄istio-proxy查看監(jiān)聽的端口,其中80端口為業(yè)務(wù)容器提供服務(wù)的端口：

$ netstat -lntp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:15001           0.0.0.0:*               LISTEN      13/envoy        
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:15090           0.0.0.0:*               LISTEN      13/envoy        
tcp        0      0 127.0.0.1:15000         0.0.0.0:*               LISTEN      13/envoy        
tcp6       0      0 :::15020                :::*                    LISTEN      1/pilot-agent
  • 15001: Envoy的入口監(jiān)聽器，iptable會將pod的流量導(dǎo)入該端口中由Envoy進(jìn)行處理
  • 15000: Envoy管理端口，該端口綁定在本地環(huán)回地址上，只能在Pod內(nèi)訪問。
數(shù)據(jù)面組件啟動流程

流程圖示：

istio組件介紹和啟動流程

  1. initContainer執(zhí)行初始化腳本，為Pod添加iptables規(guī)則
  2. Pilot-agent根據(jù)啟動參數(shù)和K8S API Server中的配置信息生成Envoy的初始配置文件envoy-rev0.json，該文件告訴Envoy從xDS server中獲取動態(tài)配置信息，并配置了xDS server的地址信息，即控制面的Pilot。
  3. Pilot-agent使用envoy-rev0.json啟動Envoy進(jìn)程。
  4. Envoy根據(jù)初始配置獲得Pilot地址，采用xDS接口從Pilot獲取到Listener，Cluster，Route等d動態(tài)配置信息。
  5. Envoy根據(jù)獲取到的動態(tài)配置啟動Listener，并根據(jù)Listener的配置，結(jié)合Route和Cluster對攔截到的流量進(jìn)行處理。
Envoy配置文件結(jié)構(gòu)

Envoy中實(shí)際生效的配置是由初始化配置文件中的靜態(tài)配置和從Pilot獲取的動態(tài)配置一起組成的。因此只對envoy-rev0 .json進(jìn)行分析并不能看到Mesh中流量管理的全貌。那么有沒有辦法可以看到Envoy中實(shí)際生效的完整配置呢？答案是可以的，我們可以通過Envoy的管理接口來獲取Envoy的完整配置：

 kubectl -n yak exec yak-files-7d48cd48f-tf75f -c istio-proxy curl http://127.0.0.1:15000/config_dump > config_dump

查看此文件的結(jié)構(gòu)：

{
    "configs":[
        {
            "@type":"type.googleapis.com/envoy.admin.v2alpha.BootstrapConfigDump",
            "bootstrap":Object{...},
            "last_updated":"2019-05-08T08:07:28.221Z"
        },
        {
            "@type":"type.googleapis.com/envoy.admin.v2alpha.ClustersConfigDump",
            "version_info":"2019-05-09T08:36:01Z/4",
            "static_clusters":Array[3],
            "dynamic_active_clusters":Array[96]
        },
        {
            "@type":"type.googleapis.com/envoy.admin.v2alpha.ListenersConfigDump",
            "version_info":"2019-05-09T08:36:01Z/4",
            "static_listeners":Array[1],
            "dynamic_active_listeners":Array[57]
        },
        {
            "@type":"type.googleapis.com/envoy.admin.v2alpha.RoutesConfigDump",
            "static_route_configs":Array[3],
            "dynamic_route_configs":Array[17]
        }
    ]
}

配置中主要包含了如下幾部分：

  • bootstrap：文件中的內(nèi)容和之前介紹的envoy-rev0.json是一致的
  • clusters: 是一個服務(wù)集群，包含一個到多個endpoint，每個endpoint都可以提供服務(wù)，Envoy根據(jù)負(fù)載均衡算法將請求發(fā)送到這些endpoint中。
    • static_clusters: 是來自于envoy-rev0.json的xDS server和zipkin server信息。
    • dynamic_active_clusters : 是通過xDS接口從Istio控制面獲取的動態(tài)服務(wù)信息。
  • listeners: Envoy采用listener來接收并處理downstream發(fā)過來的請求，listener的處理邏輯是插件式的，可以通過配置不同的filter來插入不同的處理邏輯。
    • static_listeners
    • dynamic_active_listeners
  • routes: 配置Envoy的路由規(guī)則。Istio下發(fā)的缺省路由規(guī)則中對每個端口設(shè)置了一個路由規(guī)則，根據(jù)host來對請求進(jìn)行路由分發(fā)。
    • static_route_configs
    • dynamic_route_configs

官方bookinfo服務(wù)調(diào)用示意圖：

istio組件介紹和啟動流程

參考鏈接：https://zhaohuabing.com/post/2018-09-25-istio-traffic-management-impl-intro/

本文題目：istio組件介紹和啟動流程
文章出自：http://muchs.cn/article8/gepjop.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站改版、App開發(fā)、網(wǎng)頁設(shè)計(jì)公司、微信小程序、面包屑導(dǎo)航、網(wǎng)站設(shè)計(jì)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)

外貿(mào)網(wǎng)站建設(shè)