云原生社区

云原生社区服务于云原生终端用户，由宋净超和其他几位云原生技术意见领袖共同发起，成立于2020年5月。云原生社区的前身是ServiceMesher社区，该社区成立于2018年5月，是国内推广服务网格技术的先驱阵地。

云原生社区自成立以来，围绕Kubernetes、Istio、边缘计算、Dapr等云原生相关技术，与从业人员分享优质内容，秉承“共识、共治、共建、共享”的原则，组织了多场丰富多彩的线上和线下活动。

要想了解更多，请访问云原生社区官方网站，或关注云原生社区微信公众号CloudNativeCommunity。

推荐序

随着访问流量和数据规模的激增，易于部署和运维的单体式架构已被面向扩展而设计的分布式架构全面取代。与此同时，微服务部署的复杂度和运维成本也在不断攀升。通过云计算提供一站式的分布式基础设施和自动化治理能力，便成为企业降本增效的不二之选。

容器、编排和服务网格，是云原生发展的3个里程碑。

容器的出现，使工程师能够以标准化的制品大幅提升应用交付的效率；以Kubernetes为代表的容器编排系统有效解决了大规模环境中部署和维护的问题；ServiceMesh则成为微服务全面云原生化的最后一块拼图，致力于以云原生的方式降低微服务治理的复杂度。

作为ServiceMesh领域的领头羊，Istio已被Google提案捐献至CNCF，相信它会大步朝着“成为服务网格标准的缔造者”这一目标而前进。

ServiceMesh已深入人心，近些年演化出的DatabaseMesh、EventMesh、IOMesh、ChaosMesh等都在快速发展，这些充满活力的理念和项目一定会掀起一股新的Mesh浪潮。

本书从概念、实践和生态扩展3个层面系统介绍Istio的相关知识，着重介绍了Istio的重大变化，从底层深入剖析了Istio的各项核心功能。相信这本书能带给大家很多关于云原生服务网格技术的思考。

 

张亮

SphereEx创始人、ApacheShardingSphereVP

第1章ServiceMesh概述1

1.1ServiceMesh基本概念2

1.2后Kubernetes时代的微服务5

1.2.1重要观点6

1.2.2Kubernetes与ServiceMesh6

1.2.3kube-proxy组件8

1.2.4KubernetesIngress与IstioGateway8

1.2.5xDS协议9

1.2.6Envoy11

1.2.7IstioServiceMesh12

1.3什么是Istio12

1.3.1为什么使用Istio13

1.3.2Istio的平台支持13

1.4本章小结14

第2章核心功能15

2.1流量控制15

2.1.1请求路由和流量转移16

2.1.2弹性功能17

2.1.3调试能力18

2.1.4实现流量控制的自定义资源19

2.2安全20

2.2.1认证20

2.2.2授权21

2.3可观察性21

2.4本章小结23

第3章架构解析24

3.1Istio的架构组成24

3.2Istio的设计目标25

3.3Istio的架构变迁26

3.4控制平面27

3.4.1Pilot27

3.4.2Citadel37

3.4.3Galley40

3.5数据平面45

3.5.1数据平面的概念45

3.5.2Sidecar注入及透明流量劫持47

3.5.3Sidecar流量路由机制分析57

3.5.4Envoy86

3.5.5MOSN93

3.6本章小结98

第4章安装与部署99

4.1安装99

4.1.1环境准备99

4.1.2安装Kubernetes集群100

4.1.3安装Istio100

4.2升级102

4.2.1金丝雀升级102

4.2.2热升级104

4.3Bookinfo实例104

4.3.1环境准备105

4.3.2部署应用106

4.3.3启动应用服务106

4.3.4确定Ingress的IP地址和端口107

4.3.5集群外部访问应用108

4.4本章小结108

第5章流量控制109

5.1流量控制CRD109

5.1.1VirtualService110

5.1.2DestinationRule111

5.1.3Gateway112

5.1.4ServiceEntry114

5.1.5Sidecar115

5.2路由116

5.2.1VirtualService116

5.2.2路由规则118

5.2.3DestinationRule120

5.2.4Gateway122

5.2.5ServiceEntry123

5.3流量镜像127

5.3.1流量镜像能够做什么127

5.3.2流量镜像的实现原理128

5.3.3流量镜像的配置130

5.3.4流量镜像实践132

5.4Ingress/Egress141

5.4.1Ingress142

5.4.2Egress158

5.5超时174

5.6重试178

5.7熔断181

5.8故障注入184

5.8.1HTTPFaultInjection.Abort185

5.8.2HTTPFaultInjection.Delay186

5.9本章小结189

第6章可观察性190

6.1指标监控190

6.1.1Prometheus191

6.1.2Prometheus配置解析195

6.1.3Prometheus-Istio指标200

6.2可视化202

6.2.1Grafana203

6.2.2Kiali221

6.3日志235

6.3.1传统日志235

6.3.2云原生日志236

6.3.3Istio日志236

6.3.4ELK236

6.3.5EFK250

6.4分布式追踪264

6.4.1Jaeger265

6.4.2Zipkin272

6.4.3SkyWalking277

6.5本章小结293

第7章安全294

7.1认证294

7.1.1对等认证296

7.1.2请求认证307

7.2授权312

7.2.1授权策略313

7.2.2全局策略314

7.2.3局部策略315

7.2.4Matchlabel316

7.2.5匹配算法317

7.2.6规则详解318

7.2.7操作实例320

7.2.8JWT授权325

7.3本章小结337

第8章进阶实战338

8.1集成服务注册中心338

8.1.1Istio服务模型338

8.1.2Pilot服务模型源码分析339

8.1.3第三方服务注册表集成341

8.2对接API网关342

8.2.1Envoy343

8.2.2预备工作343

8.2.3开始监听344

8.2.4一条路由346

8.2.5一个服务348

8.3分布式追踪增强352

8.3.1OpenTracing352

8.3.2OpenTracing概念模型352

8.3.3OpenTracing数据模型353

8.3.4跨进程调用信息传播354

8.4实现方法级别的调用跟踪356

8.4.1Istio的分布式追踪356

8.4.2使用OpenTracing传递分布式跟踪上下文359

8.4.3在Istio中加入方法级别的调用跟踪360

8.5实现Kafka消息跟踪363

8.5.1eshop实例程序结构363

8.5.2将Kafka消息处理加入调用链路跟踪364

8.5.3安装Kafka集群365

8.5.4部署实例应用365

8.5.5将调用跟踪上下文从Kafka传递到REST服务367

8.6部署模型371

8.6.1集群模型与控制平面模型371

8.6.2网络模型374

8.6.3网格模型374

8.6.4身份和信任模型375

8.6.5租户模型376

8.7多集群部署与管理377

8.7.1多控制平面377

8.7.2单控制平面382

8.8智能DNS387

8.8.1待解决问题388

8.8.2功能开启389

8.8.3访问外部服务390

8.8.4自动地址分配391

8.8.5跨集群访问391

8.9本章小结392

第9章故障排查393

9.1常见使用问题393

9.1.1Service端口命名约束394

9.1.2流量控制规则下发顺序问题395

9.1.3请求中断分析396

9.1.4Sidecar和usercontainer的启动顺序399

9.1.5IngressGateway和Service端口联动400

9.1.6VirtualService作用域401

9.1.7VirtualService不支持hostfragment402

9.1.8全链路跟踪并非完全透明接入403

9.1.9mTLS导致连接中断404

9.2诊断工具405

9.2.1istioctl命令行工具安装406

9.2.2使用proxy-status命令进行诊断408

9.2.3使用proxy-config命令进行诊断412

9.2.4使用analyze命令诊断415

9.2.5启用Galley自动配置分析诊断420

9.2.6采用describe命令验证并理解网格配置422

9.2.7ControlZ自检工具427

9.3本章小结429

第10章ServiceMesh生态430

10.1开源项目430

10.1.1Linkerd430

10.1.2Envoy431

10.1.3Istio431

10.1.4ConsulConnect432

10.1.5MOSN432

10.1.6KongKuma433

10.1.7Aeraki433

10.2商业化项目434

10.2.1AWS434

10.2.2Google434

10.2.3Microsoft435

10.2.4RedHat435

10.2.5AspenMesh435

10.2.6国内项目436

10.3标准436

10.3.1xDS437

10.3.2SMI445

10.3.3UDPA449

10.4扩展450

10.4.1WebAssembly451

10.4.2Contour454

10.5本章小结470