APISIX借助ServiceMesh 实现统一技术栈的全流量管理 金卫（API7 解决方案架构师） • 支流科技 - 解决方案架构师 • Apache APISIX PMC • Apache APISIX Ingress Controller Founder • Apache skywalking committer • Github: https://github.com/gxthrj 企业介绍 一个小问题 易学易懂  二次开发相比 C++ 要简单许多 强大的扩展/定制化能力  配合CRD进行扩展，更灵活 更原生 不侵入Istio原有配置 降低用户迁移成本/减少冲突可 能 通过 controller 与 amesh 进行 配置推送 强大的扩展/定制化能力  APISIX 官方提供 80+ 插件  支持自定义插件，并且快速集成  支持多语言开发  golang  python xDS，方便迁移  自定义 CRD ，增量推送策略  支持多协议 https://github.com/api7/amesh 下一个版本发布时间 12 月 未来展望 概览  APISIX Ingress处理南北向入口流量  APISIX Service Mesh处理东西向流量  APISIX专用插件配置等通过Amesh 下发 APISIX 全流量代理的价值  节约成本  统一技术栈

CustomMetricsServer Prometheus Service Monitor Istio Virtual Service Deployment Ingress Service YAML 文件 代码、应用、CICD 流水线 容器 Pod Controller 调度 Node Sidecar CNI CSI 为了更好的用户体验： 用户 期望： K8s 提供： 研发与运维人员日益增长的应用管理诉求 做抽象容易形成“谷仓” • 一个抽象满足不了所有场景，所以… 有状态应用 PaaS 无状态应用 PaaS Serverless PaaS 用户 Kubernetes Cert Manager Ingress Let’s Encrypt Flagger Virtual Service Manual Scaling App CRD HPA Knative Service Cert 简单的“客户端”抽象： DCL (Data Configuration Language) 对 K8s 资源进行抽象实际上就是在操纵 YAML 数据，通过 DCL 来完成相比于 CRD + controller 更简单 CUE • 功能强大：专注于操纵数据，而不是写 代码 • 完全兼容 JSON • 简单直观：schema 和 value 语法一致 完整的 k8s YAML 抽象数据 PaaS

定制化能力，才能成为云原生 的操作系统。 标准化能力-分布式操作系统核心-容器服务-Operator API Server Kubectl Controller Pod,Deploymen t,etc. API Server Kubectl Custom Controller Custom Resource(CR) Operator机制 Pod,Deployment, etc Spec (K8s Zipkin EFK prometheus • 适合大部分客户希望原封不动的低成本迁移上云。 • 大部分周边依赖无法做到平台化，导致管理碎片化严重，并与 微服务框架直接关联，成本较高。 Ingress Service A Service B Service C k8s-ETCD ConfigMap Zipkin EFK prometheus • 适合新项目上云，如果是已经存在的项目就需要修改代码 有没有可能集成两种部署方式的优势呢，即可以实现透明化迁移同时可以保证标准化能力呢？ 本质而言，我们是需要一个可以托管各类微服务的通用云原生应用架构治理平台 标准化能力-微服务PAAS-应用架构治理-运行态稳定性管理-2 Ingress k8s-ETCD ConfigMap Zipkin EFK prometheus • ServiceMesh为容器云打通通信网格(东西南北流量)、补充服务治理能力的同时，也将平台能力与微服务运行

e e t u p 第 四 期 · ⼴ 州 站 Kubunetes Ingress • 项⽬地址：https://github.com/apache/apisix-ingress-controller • 全动态，⽆需 reload • ⽀持原⽣ k8s CRD，⽆缝迁移 • 性能最好的 k8s Ingress Controller 项⽬ • 状态：Q2 季度 GA 云 原 ⽣ 社 区 M e 云 原 ⽣ 社 区 M e e t u p 第 四 期 · ⼴ 州 站 APISIX：全流量数据⾯ • LB: APISIX • 南北 API ⽹关：APISIX • K8s ingress：APISIX Ingress • Java ⽹关：Java plugin runner • 服务⽹格 Sidecar：APISIX Mesh 云 原 ⽣ 社 区 M e e t u p 第 四 期

Traffic Proxy with Istio Jintao Zhang API7.ai #IstioCon About Me ● Apache APISIX PMC ● Kubernetes Ingress NGINX maintainer ● Microsoft MVP ● zhangjintao@apache.org ● https://github.com/tao12345666333 Gateway（weibo、WPS） ● Microservices API Gateway（iQIYI） ● Kubernetes Ingress controller（UPYUN） ● https://github.com/apache/apisix-ingress-controller/ #IstioCon Why use Apache APISIX as the data plane for Istio

Mesh实践 冯玮 七牛容器云架构师 2018.11.25 Service Mesh Meetup #4 上海站Ingress Controller • 流量管理 • 安全管理 • 统一配置 • 反向代理Contour • 本质上还是Ingress Controller • Kubernetes深度整合 • Gimbal生态组件Contour特点 • 基于Envoy • 协议转换 • 多集群入口流量整合管理 • 劣势 • 缺少大规模落地案例 • 功能/非功能仍需加强Contour & Istio • 南北向流量 • API版本共存（Istio & Kubernetes Ingress） • 东西向流量 • Istio支持全量功能 • Contour支持Tracing能力 • 数据面共存 • 共用边车组件Envoy七牛现有Service Mesh体系 • Istio产品化

L4、L7 层流量：HTTP、HTTPS、TCP、UDP、MQTT、Dubbo、gRPC… • 替代 Nginx 处理南北向流量 • 替代 Envoy 处理服务间东西向流量 • k8s ingress controller • 借助 MQTT 插件作为 IoT 网关 • 借助 IdP 插件成为零信任网关 Apache APISIX 的技术优势 Apache APISIX 的技术优势 • Apache 没有跟进云原生：nginx-k8s-controller、nginx unit 的尝试都失败了 • 配置不能热加载 • 非 http、https 流量的兴起（微服务、物联网…） • 商业化不成功 • 被 F5 收购 Nginx 的替代者 • API 网关：Kong、Apache APISIX • service proxy：Envoy • 公有云：CLB + API 网关、CLB + k8s ingress controller

MOSN，云原生时代的安全网络代理 Service Mesh 控制面 Galley Pilot Pod SOFA 服务 MSON Kubernetes TLS，国密 服务鉴权 Mirror Ingress Controller Pod Msg 服务 MOSN Pod Dubbo 服务 MOSN Pod 数据访问服务 MOSN TLS，国密 服务鉴权 Mirror 访问请求 MOSN 适配 Istio，兼容 UDAP 协议 Zookeeper，Etcd Open Tracing, Jaeger Prometheus, StatsD 生态融合 支持 K8s Ingress，Edge Proxy、Mesh Sidecar， Api Gateway 等多种代理 形态 多场景10/10 开源所幸，云之爆发 我们认为，未来会更多地属于那些告别大教堂、拥抱集市的人们。《大教堂与集市》感谢聆听

前置的 Filter 拦截请求，并根据请求中包含的 IP 和 port 信息计算其所属的 Distro 责任节点， 并将该请求转发到所属的 Distro 责任节点上。  责任节点上的 Controller 将写请求进行解析。  Distro 协议定期执行 Sync 任务，将本机所负责的所有的实例信息同步到其他节点上。 读操作 由于每台机器上都存放了全量数据，因此在每⼀次读操作中，Distro 级别。namespace+group。或者 namespace 级 别。 授权 resource 组成 acs:config:region:namespace:group acs: access controller system 缩写 config：产品名或者模块名 region：区域 namespace：命名空间 group：分组 不同级别授权资源组成 授权⼀个命名空间下所有数据权限 登录 目前采用 spring-security 框 架不能做到这个特殊逻辑控制 console 接口全部代理 控制台这层要走 filter 的服 务，未来都要走 console 的 controller 转发⼀下，以便统 ⼀处理 改这个成本比价高 console 接口部分代理（推荐） 只把配置列表 服务列表 这种高频先整个控制台管控 这是折中方案，未来要走全部 代理方案，以便可分可合

DiscoveryServe r clientset Envoy Envoy KubeApiServ er List/Watc h 1. Controller实现ServcieDiscovery 若干服务发现的接口定义 2. Controller List/Watch KubeAPIserver上service、 endpoint等资源对象 3. DiscvoeryServer使用 S 60% Scheduler Controller- Managerr21 灰度发布：基于Kubernetes + Loadbalancer SVC svc1 SVC svc1 SVC svc1 SVC svc1 SVC svc1 SVC svc1 prod canary KubeAPIServer Ingress-Controller List/watch reLoad22