Istio direct Pod to Pod communication - PullRequest
Новая
       26

Istio direct Pod to Pod communication

1 голос
/ 01 апреля 2019

У меня проблема со связью с модулем, развернутым с помощью Istio? Мне действительно нужно, чтобы заставил обнаружение Hazelcast работать с Istio , но я постараюсь обобщить проблему здесь.

Давайте рассмотрим пример службы Hello World, развернутой в Kubernetes. Служба отвечает на HTTP-запрос на порт 8000. 

$ kubectl create deployment nginx --image=crccheck/hello-world

Созданному модулю назначен внутренний IP-адрес: 

$ kubectl get pods -o wide
NAME                               READY   STATUS    RESTARTS   AGE   IP           NODE                                                  NOMINATED NODE
hello-deployment-84d876dfd-s6r5w   1/1     Running   0          8m    10.20.3.32   gke-rafal-test-istio-1-0-default-pool-91f437a3-cf5d   <none>

В работе curl.yaml мы можем напрямую использовать Pod IP. 

apiVersion: batch/v1
kind: Job
metadata:
  name: curl
spec:
  template:
    spec:
      containers:
      - name: curl
        image: byrnedo/alpine-curl
        command: ["curl",  "10.20.3.32:8000"]
      restartPolicy: Never
  backoffLimit: 4

Работа без Istio работает нормально. 

$ kubectl apply -f curl.yaml
$ kubectl logs pod/curl-pptlm
...
Hello World
...

Однако, когда я пытаюсь сделать то же самое с Istio, это не работает. HTTP-запрос блокируется Envoy. 

$ kubectl apply -f <(istioctl kube-inject -f curl.yaml)
$ kubectl logs pod/curl-s2bj6 curl
...
curl: (7) Failed to connect to 10.20.3.32 port 8000: Connection refused

Я играл с сервисными записями, MESH_INTERNAL и MESH_EXTERNAL, но безуспешно. Как обойти посланника и сделать прямой звонок в стручок?

РЕДАКТИРОВАТЬ: выход istioctl kube-inject -f curl.yaml. 

$ istioctl kube-inject -f curl.yaml
apiVersion: batch/v1
kind: Job
metadata:
  creationTimestamp: null
  name: curl
spec:
  backoffLimit: 4
  template:
    metadata:
      annotations:
        sidecar.istio.io/status: '{"version":"dbf2d95ff300e5043b4032ed912ac004974947cdd058b08bade744c15916ba6a","initContainers":["istio-init"],"containers":["istio-proxy"],"volumes":["istio-envoy","istio-certs"],"imagePullSecrets":null}'
      creationTimestamp: null
    spec:
      containers:
      - command:
        - curl
        - 10.16.2.34:8000/
        image: byrnedo/alpine-curl
        name: curl
        resources: {}
      - args:
        - proxy
        - sidecar
        - --domain
        - $(POD_NAMESPACE).svc.cluster.local
        - --configPath
        - /etc/istio/proxy
        - --binaryPath
        - /usr/local/bin/envoy
        - --serviceCluster
        - curl.default
        - --drainDuration
        - 45s
        - --parentShutdownDuration
        - 1m0s
        - --discoveryAddress
        - istio-pilot.istio-system:15010
        - --zipkinAddress
        - zipkin.istio-system:9411
        - --connectTimeout
        - 10s
        - --proxyAdminPort
        - "15000"
        - --concurrency
        - "2"
        - --controlPlaneAuthPolicy
        - NONE
        - --statusPort
        - "15020"
        - --applicationPorts
        - ""
        env:
        - name: POD_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: POD_NAMESPACE
          valueFrom:
            fieldRef:
              fieldPath: metadata.namespace
        - name: INSTANCE_IP
          valueFrom:
            fieldRef:
              fieldPath: status.podIP
        - name: ISTIO_META_POD_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: ISTIO_META_CONFIG_NAMESPACE
          valueFrom:
            fieldRef:
              fieldPath: metadata.namespace
        - name: ISTIO_META_INTERCEPTION_MODE
          value: REDIRECT
        image: docker.io/istio/proxyv2:1.1.1
        imagePullPolicy: IfNotPresent
        name: istio-proxy
        ports:
        - containerPort: 15090
          name: http-envoy-prom
          protocol: TCP
        readinessProbe:
          failureThreshold: 30
          httpGet:
            path: /healthz/ready
            port: 15020
          initialDelaySeconds: 1
          periodSeconds: 2
        resources:
          limits:
            cpu: "2"
            memory: 128Mi
          requests:
            cpu: 100m
            memory: 128Mi
        securityContext:
          readOnlyRootFilesystem: true
          runAsUser: 1337
        volumeMounts:
        - mountPath: /etc/istio/proxy
          name: istio-envoy
        - mountPath: /etc/certs/
          name: istio-certs
          readOnly: true
      initContainers:
      - args:
        - -p
        - "15001"
        - -u
        - "1337"
        - -m
        - REDIRECT
        - -i
        - '*'
        - -x
        - ""
        - -b
        - ""
        - -d
        - "15020"
        image: docker.io/istio/proxy_init:1.1.1
        imagePullPolicy: IfNotPresent
        name: istio-init
        resources:
          limits:
            cpu: 100m
            memory: 50Mi
          requests:
            cpu: 10m
            memory: 10Mi
        securityContext:
          capabilities:
            add:
            - NET_ADMIN
      restartPolicy: Never
      volumes:
      - emptyDir:
          medium: Memory
        name: istio-envoy
      - name: istio-certs
        secret:
          optional: true
          secretName: istio.default
status: {}
---

Ответы [ 2 ]

2 голосов
/ 15 июня 2019

Когда запускается машина с бортовым автомобилем istio, происходят следующие вещи

  1. контейнер init изменяет правила iptables, так что весь исходящий tcp-трафик направляется в контейнер с коляской (istio-proxy) через порт 15001.

  2. контейнеры контейнера запускаются параллельно (curl и istio-proxy)

Если ваш контейнер curl выполняется до того, как istio-proxy прослушивает порт 15001, вы получите ошибку.

Я запустил этот контейнер с помощью команды sleep, exec-d в контейнер, и curl сработал. 

$ kubectl apply -f <(istioctl kube-inject -f curl-pod.yaml)

$ k exec -it -n noistio curl -c curl bash
[root@curl /]# curl 172.16.249.198:8000
<xmp>
Hello World


                                       ##         .
                                 ## ## ##        ==
                              ## ## ## ## ##    ===
                           /""""""""""""""""\___/ ===
                      ~~~ {~~ ~~~~ ~~~ ~~~~ ~~ ~ /  ===- ~~~
                           \______ o          _,/
                            \      \       _,'
                             `'--.._\..--''
</xmp>
[root@curl /]#

локон-pod.yaml 

apiVersion: v1
kind: Pod
metadata:
  name: curl
spec:
  containers:
  - name: curl
    image: centos
    command: ["sleep",  "3600"]
0 голосов
/ 22 мая 2019

Убедитесь, что вы настроили входной «шлюз», и после этого вам необходимо настроить «VirtualService». Смотрите ссылку ниже для простого примера.

https://istio.io/docs/tasks/traffic-management/ingress/#configuring-ingress-using-an-istio-gateway

Как только вы развернете шлюз вместе с виртуальной службой, вы сможете «свернуть» свою службу из вне кластера с внешнего IP-адреса.

Но если вы хотите проверить трафик из INSIDE кластера, вам потребуется использовать API зеркального отображения istio для зеркалирования сервиса (модуля) от одного модуля к другому модулю, а затем использовать вашу команду (kubectl). применить -f curl.yaml), чтобы увидеть трафик.

См. Ссылку ниже для примера зеркального отображения:

https://istio.io/docs/tasks/traffic-management/mirroring/

надеюсь, это поможет

...