进击的 Traefik 杨川胡（阳明） 知群后台负责人 2019.10.26 Service Mesh Meetup #7 成都站 云原生边缘路由器探秘杨川胡（阳明） 知群后台负责人，原小米视频后台高级研发 ，《Prometheus 深入浅出》作者，「k8s技 术圈」社区作者，现阶段专注于云原生技术 领域，希望成为一个有产品思维的工程师1 Traefik 介绍 2 Traefik Traefik 2.0 核心概念 3 Traefik With Docker 4 Traefik With KubernetesTraefik 是什么？ • 云原生的边缘路由器 • 让部署微服务更加便捷而诞生的现 代 HTTP 反向代理、负载均衡工具 • 它支持多种后台 (Docker, Swarm, Kubernetes, M arathon, Mesos, Consul, Etcd, Z ookeeper ....1 Traefik 介绍 2 Traefik 2.0 核心概念 3 Traefik With Docker 4 Traefik With KubernetesTraefik 是一个边缘路由器Traefik 自动服务发现Traefik 2.0 架构 • Providers 用来自动发现平台上的服务 • Entrypoints 监听传入的流量（端口等… ） • Routers 分析请求（host

12.7. 为项目定义默认网络策略 12.8. 使用网络策略配置多租户隔离 第 第 13 章 章 多网 多网络 络 13.1. 了解多网络 13.2. 配置额外网络 13.3. 关于虚拟路由和转发 13.4. 配置多网络策略 13.5. 将 POD 附加到额外网络 13.6. 从额外网络中删除 POD 13.7. 编辑额外网络 13.8. 删除额外网络 13.9. 为 VRF 为项目编辑出口防火墙 15.6. 从项目中删除出口防火墙 15.7. 使用出口路由器 POD 的注意事项 15.8. 以重定向模式部署出口路由器 POD 15.9. 以 HTTP 代理模式部署出口路由器 POD 15.10. 以 DNS 代理模式部署出口路由器 POD 15.11. 从配置映射配置出口路由器 POD 目的地列表 15.12. 为项目启用多播 15.13. 为项目禁用多播 16.11. 分配出口 IP 地址 16.12. 使用出口路由器 POD 的注意事项 16.13. 以重定向模式部署出口路由器 POD 16.14. 为项目启用多播 16.15. 为项目禁用多播 16.16. 跟踪网络流 16.17. 配置混合联网 第 第 17 章 章 配置路由 配置路由 17.1. 路由配置 17.2. 安全路由 第 第 18 章 章 配置集群入口流量 配置集群入口流量

1.1. OPENSHIFT CONTAINER PLATFORM DNS 1.2. OPENSHIFT CONTAINER PLATFORM INGRESS OPERATOR 1.2.1. 路由和 Ingress 的比较 第 第 2 章 章 访问 访问主机 主机 2.1. 访问安装程序置备的基础架构集群中 AMAZON WEB SERVICES 上的主机 第 第 3 章 章 网 网络 1. 通过路由标签（label）配置 Ingress Controller 分片 6.8.5.2. 使用命名空间标签配置 Ingress Controller 分片 6.8.6. 配置 Ingress Controller 以使用内部负载均衡器 6.8.7. 将集群的默认 Ingress Controller 配置为内部 6.8.8. 配置路由准入策略 6.8.9. 使用通配符路由 6.8.10 11.2.6. 通过应用 YAML 清单来创建额外网络附加 11.3. 将 POD 附加到额外网络 11.3.1. 将 pod 添加到额外网络 11.3.1.1. 指定特定于 pod 的地址和路由选项 11.4. 从额外网络中删除 POD 11.4.1. 从额外网络中删除 pod 11.5. 编辑额外网络 11.5.1. 修改额外网络附加定义 11.6. 删除额外网络 11.6.1

OPENSHIFT CONTAINER PLATFORM 中的 中的 INGRESS 分片 分片 8.1. INGRESS CONTROLLER 分片 8.2. 为 INGRESS CONTROLLER 分片创建路由 8 9 9 9 10 13 13 14 14 14 14 14 14 14 15 15 15 16 16 16 23 24 24 24 25 26 26 30 30 30 . . . . . . . . . . . . . . . . . . . . 第 第 25 章 章 多网 多网络 络 25.1. 了解多网络 25.2. 配置额外网络 25.3. 关于虚拟路由和转发 25.4. 配置多网络策略 25.5. 将 POD 附加到额外网络 25.6. 从额外网络中删除 POD 25.7. 编辑额外网络 25.8. 删除额外网络 25.9. 为 VRF 分配从属网络 13. 为项目编辑出口防火墙 27.14. 从项目中删除出口防火墙 27.15. 配置出口 IP 地址 27.16. 分配出口 IP 地址 27.17. 使用出口路由器 POD 的注意事项 27.18. 以重定向模式部署出口路由器 POD 27.19. 为项目启用多播 27.20. 为项目禁用多播 27.21. 跟踪网络流 27.22. 配置混合联网 第 第 28 章 章 OPENSHIFT

REGISTRY OPERATOR 在可用区间分布 2.4. 其他资源 2.5. IMAGE REGISTRY OPERATOR 配置参数 2.6. 使用 CRD 启用 IMAGE REGISTRY 默认路由 2.7. 为镜像 REGISTRY 访问配置额外的信任存储 2.8. 为 IMAGE REGISTRY OPERATOR 配置一个存储凭证 2.9. 其他资源 第 第 3 章 章 设 设置和配置 Platform 提供的 registry，用于管理镜像。 registry 身份 身份验证 验证 要将镜像推送 (push) 到私有镜像仓库，registry 需要根据凭据验证其用户。 route 公开服务，以允许从 OpenShift Container Platform 实例外的用户和应用程序对 pod 进行网络访问。 缩减 缩减（ （scale down） ） 减少副本数。 扩 Limit 详情。控制在把请求放入队列前，registry 实例可以并行处理 的请求数量。 defaultRoute 确定是否使用默认主机名定义外部路由。如果启用，该路由将会对加密进行重新 加密。默认值为 false。 Routes 要创建的其他路由。您需要提供路由的主机名和证书。 OpenShift Container Platform 4.12 容器 容器镜 镜像 像仓库 仓库（ （Registry）

SDK 实现的七层通信相关功能抽象 出来，使用一个专用层次来实现，Service Mesh 对应用透明，因此应用 可以无需关注分布式架构带来的通信相关问题，而专注于其业务价值。 流量控制：服务发现、请求路由、负载均衡、灰度发布、错误重试、 断路器、故障注入 可观察性：遥测数据、调用跟踪、服务拓扑 通信安全： 服务身份认证、访问鉴权、通信加密 Proxy Application Layer Service q 服务数据（Mesh 中有哪些服务？缺省路由） v Service Registry § Kubernetes：原生支持 § Consul、Eureka 等其他服务注册表：MCP over xDS （https://github.com/istio-ecosystem/consul-mcp） v 通过CRD定义的服务数据 q 自定义流量规则（如何将请求路由到这些服务？） v 通过CRD定义的流量规则 Destination Rule 外部请求 内部客户端 Service2 Service1 网格内部 定义网格入口 • 服务端口 • Host • TLS 配置 • 路由配置 • 根据 Host 路由 • 根据 Header • 根据 URI 路由 目的地流量策略配置 • LB 策略 • 连接池配置 • 断路器配置 • TLS 配置 Gateway External Service 统一网格出口 •

RED HAT OPENSHIFT SERVICE MESH 上部署应用程序 4.2. 为服务网格配置分布式追踪 4.3. 应用程序示例 4.4. KIALI 教程 4.5. 分布式追踪 4.6. 自动路由创建 第 第 5 章 章 SERVICE MESH 用 用户 户指南 指南 5.1. 流量管理 第 第 6 章 章 支持 支持 6.1. 为红帽支持收集 RED HAT OPENSHIFT SERVICE OperatorHub 安装 Elasticsearch 、Jaeger 、Kiali 和 Service Mesh Operators。 您可以创建并指定 control plane 模板。 这个版本删除了自动路由创建功能。 1.4. 已知问题 Red Hat OpenShift Service Mesh 中存在以下限制： Red Hat OpenShift Service Mesh 不支持 IPv6 ，因为上游 网关流量。如果 您将 ingress 网关配置为使用 80 或 443 以外的端口号处理 TCP 流量，作为临时解决方案，您必 须使用 AWS 负载均衡器提供的服务主机名，而不是使用 OpenShift 路由器。 1.5.2. Kiali 修复的问题 KIALI-3239 如果一个 Kiali Operator pod 失败且状态为 “Evicted”，它会阻塞 Kiali operator 的部 署。解决办法是删除被逐出的

1.48.2-1 1.2.2.2.2. 复制路由标签 在这个版本中，除了复制注解外，您还可以为 OpenShift 路由复制特定的标签。Red Hat OpenShift Service Mesh 将 Istio 网关资源中存在的所有标签和注解（从 kubectl.kubernetes.io 开始的注解除外）复 制到受管 OpenShift Route 资源中。 1.2.2.3. Red Hat 要启用这个功能，请在 ServiceMeshControlPlane 中为 Istiod 容器设置以下环境变量： 使用 SameNamespace 或 All 设置在 Gateway API 监听器上限制路由附加功能可能。Istio 会忽略 listeners.allowedRoutes.namespaces 中标签选择器的使用，并恢复到默认行为 (SameNamespace)。 1.2.2.5. Red /user/profile#section1 的请求绕过拒绝策略并路由到后端（通过规范的 URI path /user/profile%23section1），可能会导致安全事件。 如果您使用带有 DENY 操作和 operation.paths 的授权策略，或者 ALLOW 操作和 operation.notPaths，则会受到此漏洞的影响。 在这个版本中，在授权和路由前会删除请求的 URI 片段部分。这可以防止其

TOPOLOGY 视图查 视图查看 看应 应用程序 用程序组 组成情况 成情况 4.1. 先决条件 4.2. 查看应用程序拓扑 4.3. 与应用程序和组件交互 4.4. 扩展应用程序 POD 以及检查构建和路由 4.5. 将组件添加到现有项目 4.6. 对应用程序中的多个组件进行分组 4.7. 在应用程序中添加服务 4.8. 从应用程序中删除服务 4.9. 用于 TOPOLOGY 视图的标签和注解 4.10 第 第 8 章 章 DEPLOYMENTS 8.1. 了解 DEPLOYMENT 和 DEPLOYMENTCONFIG 对象 8.2. 管理部署过程 8.3. 使用部署策略 8.4. 使用基于路由的部署策略 4 4 4 4 5 5 11 11 16 16 23 24 32 32 32 33 34 35 36 37 38 39 40 41 41 41 42 42 49 Create a route to the application，以便您可以使用公开的 URL 访问应用程序。 如果您的应用程序没有在默认公共端口（80）上公开其数据，请清除复选框，并设置您想要公开 的目标端口号。 10. 可选：可以使用以下高级选项进一步自定义应用程序： 路由 路由 点击 Routing 链接，您可以执行以下操作： 自定义路由的主机名。 指定路由器监控的路径。 从下拉列表中选择流量的目标端口。

选择在 AWS 上安装 OpenShift Container Platform 的方法 4.1.4. 后续步骤 4.2. 配置 AWS 帐户 4.2.1. 配置路由 53（Route 53） 4.2.1.1. AWS Route 53 的 Ingress Operator 端点配置 4.2.2. AWS 帐户限值 4.2.3. IAM 用户所需的 AWS 权限 50 50 51 52 7. 在 AZURE 上安装私有集群 5.7.1. 先决条件 5.7.2. 私有集群 5.7.2.1. Azure 中的私有集群 5.7.2.1.1. 限制： 5.7.2.2. 用户定义的出站路由 带有网络地址转换的专用集群 使用 Azure 防火墙的私有集群 带有代理配置的私有集群 没有互联网访问的私有集群 5.7.3. 关于为 OpenShift Container Platform 5.8.1. 先决条件 5.8.2. Azure 政府区域 5.8.3. 私有集群 5.8.3.1. Azure 中的私有集群 5.8.3.1.1. 限制： 5.8.3.2. 用户定义的出站路由 带有网络地址转换的专用集群 使用 Azure 防火墙的私有集群 带有代理配置的私有集群 没有互联网访问的私有集群 5.8.4. 关于为 OpenShift Container Platform