Istio Ingress Gateway中的Envoy配置解析

Posted ServiceMesher

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Istio Ingress Gateway中的Envoy配置解析相关的知识，希望对你有一定的参考价值。

Istio Ingress Gateway中的Envoy配置解析

  • gateway定义用于配置在mesh边缘，到mesh的tcp和http的负载均衡。

非TLS单主机环境

相关拓扑

Istio Ingress Gateway中的Envoy配置解析

  • 使用azure aks环境。

  • ingress gateway的service类型为loadbalancer。

  • ingress gateway的service enternal ip为104.211.54.62。

  • 通过该external ip对应的域名，访问ingress gateway svc。

Istio Ingress Gateway中的Envoy配置解析

  • 增加gateway定义。

  • gateway定义中的selector会将该设置与相应的gateway pod绑定。

  • gateway定义中的servers会在相应的pod中生成listener实例，该拓扑中的监听端口为80。

  • 需要将80端口注册到该gateway pod对应的服务中（默认已注册）。

  • gateway定义中的hosts表示listener会向哪些特定的虚拟主机转发流量，在该示例中为httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io。

  • 增加virtualservice定义。

  • virtualservice定义中的hosts与gateway中的hosts相对应，表示该服务可以注册到gateway的监听中，这个host写会更新到gateway pod路由表的虚拟主机条目中。

  • virtualservice定义中的gateways将virtualservice与gateway关联起来。

  • virtualservice定义中的http定义了路由规则，路由规则会写入到相应gateway pod的路由表中。

相关配置

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: Gateway
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-gateway
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   selector:
    7. 
  
    
    
  
  7.     istio: ingressgateway
    8. 
  
    
    
  
  8.   servers:
    9. 
  
    
    
  
  9.   - port:
    10. 
  
    
    
  
  10.       number: 80
    11. 
  
    
    
  
  11.       name: http-httpbin
    12. 
  
    
    
  
  12.       protocol: HTTP
    13. 
  
    
    
  
  13.     hosts:
    14. 
  
    
    
  
  14.     - "httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io"
    15.

  • gateway相关配置。

  • 该定义与包含istio: ingressgateway label的ingress gateway pod绑定。

  • 新建80端口监听。

  • 监听主机为httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io的请求。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: VirtualService
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-vs
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   hosts:
    7. 
  
    
    
  
  7.   - "httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io"
    8. 
  
    
    
  
  8.   gateways:
    9. 
  
    
    
  
  9.   - httpbin-gateway
    10. 
  
    
    
  
  10.   http:
    11. 
  
    
    
  
  11.   - match:
    12. 
  
    
    
  
  12.     - uri:
    13. 
  
    
    
  
  13.         prefix: /status
    14. 
  
    
    
  
  14.     - uri:
    15. 
  
    
    
  
  15.         prefix: /delay
    16. 
  
    
    
  
  16.     - uri:
    17. 
  
    
    
  
  17.         prefix: /headers
    18. 
  
    
    
  
  18.     route:
    19. 
  
    
    
  
  19.     - destination:
    20. 
  
    
    
  
  20.         port:
    21. 
  
    
    
  
  21.           number: 8000
    22. 
  
    
    
  
  22.         host: httpbin.default.svc.cluster.local
    23.

  • virtualservice相关配置。

  • 将该配置应用到名称为httpbin-gateway的实例中。

  • 定义路由规则和相关转发目的地。

 
   
   
 
    
  
    
    
  
  1. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin]$ http http://httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io/status/418
    2. 
  
    
    
  
  2. HTTP/1.1 418 Unknown
    3. 
  
    
    
  
  3. access-control-allow-credentials: true
    4. 
  
    
    
  
  4. access-control-allow-origin: *
    5. 
  
    
    
  
  5. content-length: 135
    6. 
  
    
    
  
  6. date: Sat, 03 Nov 2018 16:20:59 GMT
    7. 
  
    
    
  
  7. server: envoy
    8. 
  
    
    
  
  8. x-envoy-upstream-service-time: 4
    9. 
  
    
    
  
  9. x-more-info: http://tools.ietf.org/html/rfc2324
    10. 
  
    
    
  
    11. 
  
    
    
  
  11.     -=[ teapot ]=-
    12. 
  
    
    
  
    13. 
  
    
    
  
  13.        _...._
    14. 
  
    
    
  
  14.      .'  _ _ `.
    15. 
  
    
    
  
  15.     | ."` ^ `". _,
    16. 
  
    
    
  
  16.     \_;`"---"`|//
    17. 
  
    
    
  
  17.       |       ;/
    18. 
  
    
    
  
  18.       \_     _/
    19. 
  
    
    
  
  19.         `"""`
    20. 
  
    
    
  
    21. 
  
    
    
  
  21. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin]$
    22.

  • 测试结果。

  • 通过主机httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io，可以正常访问httpbin pod。

TLS单主机环境

相关拓扑

Istio Ingress Gateway中的Envoy配置解析

  • 使用azure aks环境。

  • ingress gateway的service类型为loadbalancer。

  • ingress gateway的service enternal ip为104.211.54.62。

  • 通过该external ip对应的域名，访问ingress gateway svc。

  • 客户端使用tls方式访问主机。

  • tls请求在ingress gateway处被卸载，并转化为http请求。

Istio Ingress Gateway中的Envoy配置解析

  • 增加gateway定义。

  • gateway定义中的监听端口包括80和443。

  • 在80中启用httpsredirect。

  • 在443中启用simple tls。

  • 指定443的key和cert。

  • 增加virtualservice定义，并定义相应路由规则。

相关配置

 
   
   
 
    
  
    
    
  
  1. openssl req 
    2. 
  
    
    
  
  2. -newkey rsa:4096 -nodes -sha256 -keyout ca.key 
    3. 
  
    
    
  
  3. -x509 -days 3655 -out ca.crt
    4. 
  
    
    
  
    5. 
  
    
    
  
  5. openssl req 
    6. 
  
    
    
  
  6. -newkey rsa:4096 -nodes -sha256 -keyout httpbin-tls.key 
    7. 
  
    
    
  
  7. -out httpbin-tls.csr
    8. 
  
    
    
  
    9. 
  
    
    
  
  9. echo subjectAltName = DNS:httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io > extfile-httpbin-tls.cnf
    10. 
  
    
    
  
    11. 
  
    
    
  
  11. openssl x509 
    12. 
  
    
    
  
  12. -req -days 3655 -in httpbin-tls.csr -CA ca.crt -CAkey ca.key 
    13. 
  
    
    
  
  13. -CAcreateserial -extfile extfile-httpbin-tls.cnf -out httpbin-tls.crt
    14. 
  
    
    
  
    15. 
  
    
    
  
  15. kubectl create -n istio-system secret tls istio-ingressgateway-certs --key ./httpbin-tls.key --cert ./httpbin-tls.crt
    16.

  • 自签名证书相关配置。

  • k8s secret相关配置。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: Gateway
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-tls-gateway
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   selector:
    7. 
  
    
    
  
  7.     istio: ingressgateway
    8. 
  
    
    
  
  8.   servers:
    9. 
  
    
    
  
  9.   - port:
    10. 
  
    
    
  
  10.       number: 80
    11. 
  
    
    
  
  11.       name: http-httpbin
    12. 
  
    
    
  
  12.       protocol: HTTP
    13. 
  
    
    
  
  13.     hosts:
    14. 
  
    
    
  
  14.     - "httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io"
    15. 
  
    
    
  
  15.     tls:
    16. 
  
    
    
  
  16.       httpsRedirect: true
    17. 
  
    
    
  
  17.   - port:
    18. 
  
    
    
  
  18.       number: 443
    19. 
  
    
    
  
  19.       name: https-httpbin
    20. 
  
    
    
  
  20.       protocol: HTTPS
    21. 
  
    
    
  
  21.     tls:
    22. 
  
    
    
  
  22.       mode: SIMPLE
    23. 
  
    
    
  
  23.       serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
    24. 
  
    
    
  
  24.       privateKey: /etc/istio/ingressgateway-certs/tls.key
    25. 
  
    
    
  
  25.     hosts:
    26. 
  
    
    
  
  26.     - "httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io"
    27.

  • gateway相关配置。

  • 新建监听端口包括80和443。

  • 在80中启用httpsredirect。

  • 在443中启用simple tls。

  • 指定443的key和cert。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: VirtualService
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-tls-vs
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   hosts:
    7. 
  
    
    
  
  7.   - "httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io"
    8. 
  
    
    
  
  8.   gateways:
    9. 
  
    
    
  
  9.   - httpbin-tls-gateway
    10. 
  
    
    
  
  10.   http:
    11. 
  
    
    
  
  11.   - match:
    12. 
  
    
    
  
  12.     - uri:
    13. 
  
    
    
  
  13.         prefix: /status
    14. 
  
    
    
  
  14.     route:
    15. 
  
    
    
  
  15.     - destination:
    16. 
  
    
    
  
  16.         port:
    17. 
  
    
    
  
  17.           number: 8000
    18. 
  
    
    
  
  18.         host: httpbin.default.svc.cluster.local
    19.

  • virtualservice相关配置。

  • 配置相关路由。

 
   
   
 
    
  
    
    
  
  1. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin]$ http http://httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io/status/418 --verify no --follow -v
    2. 
  
    
    
  
  2. GET /status/418 HTTP/1.1
    3. 
  
    
    
  
  3. Accept: */*
    4. 
  
    
    
  
  4. Accept-Encoding: gzip, deflate
    5. 
  
    
    
  
  5. Connection: keep-alive
    6. 
  
    
    
  
  6. Host: httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io
    7. 
  
    
    
  
  7. User-Agent: HTTPie/0.9.9
    8. 
  
    
    
  
    9. 
  
    
    
  
  9. HTTP/1.1 301 Moved Permanently
    10. 
  
    
    
  
  10. content-length: 0
    11. 
  
    
    
  
  11. date: Sat, 03 Nov 2018 19:25:25 GMT
    12. 
  
    
    
  
  12. location: https://httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io/status/418
    13. 
  
    
    
  
  13. server: envoy
    14. 
  
    
    
  
    15. 
  
    
    
  
  15. GET /status/418 HTTP/1.1
    16. 
  
    
    
  
  16. Accept: */*
    17. 
  
    
    
  
  17. Accept-Encoding: gzip, deflate
    18. 
  
    
    
  
  18. Connection: keep-alive
    19. 
  
    
    
  
  19. Host: httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io
    20. 
  
    
    
  
  20. User-Agent: HTTPie/0.9.9
    21. 
  
    
    
  
    22. 
  
    
    
  
  22. HTTP/1.1 418 Unknown
    23. 
  
    
    
  
  23. access-control-allow-credentials: true
    24. 
  
    
    
  
  24. access-control-allow-origin: *
    25. 
  
    
    
  
  25. content-length: 135
    26. 
  
    
    
  
  26. date: Sat, 03 Nov 2018 19:25:26 GMT
    27. 
  
    
    
  
  27. server: envoy
    28. 
  
    
    
  
  28. x-envoy-upstream-service-time: 6
    29. 
  
    
    
  
  29. x-more-info: http://tools.ietf.org/html/rfc2324
    30. 
  
    
    
  
    31. 
  
    
    
  
  31.     -=[ teapot ]=-
    32. 
  
    
    
  
    33. 
  
    
    
  
  33.        _...._
    34. 
  
    
    
  
  34.      .'  _ _ `.
    35. 
  
    
    
  
  35.     | ."` ^ `". _,
    36. 
  
    
    
  
  36.     \_;`"---"`|//
    37. 
  
    
    
  
  37.       |       ;/
    38. 
  
    
    
  
  38.       \_     _/
    39. 
  
    
    
  
  39.         `"""`
    40. 
  
    
    
  
    41. 
  
    
    
  
  41. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin]$
    42.

  • httpsredirect测试结果。

  • 通过http方式访问httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io，可以正常访问httpbin pod。

 
   
   
 
    
  
    
    
  
  1. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin]$ http https://httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io/status/418 --verify no -v
    2. 
  
    
    
  
  2. GET /status/418 HTTP/1.1
    3. 
  
    
    
  
  3. Accept: */*
    4. 
  
    
    
  
  4. Accept-Encoding: gzip, deflate
    5. 
  
    
    
  
  5. Connection: keep-alive
    6. 
  
    
    
  
  6. Host: httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io
    7. 
  
    
    
  
  7. User-Agent: HTTPie/0.9.9
    8. 
  
    
    
  
    9. 
  
    
    
  
  9. HTTP/1.1 418 Unknown
    10. 
  
    
    
  
  10. access-control-allow-credentials: true
    11. 
  
    
    
  
  11. access-control-allow-origin: *
    12. 
  
    
    
  
  12. content-length: 135
    13. 
  
    
    
  
  13. date: Sat, 03 Nov 2018 19:26:21 GMT
    14. 
  
    
    
  
  14. server: envoy
    15. 
  
    
    
  
  15. x-envoy-upstream-service-time: 5
    16. 
  
    
    
  
  16. x-more-info: http://tools.ietf.org/html/rfc2324
    17. 
  
    
    
  
    18. 
  
    
    
  
  18.     -=[ teapot ]=-
    19. 
  
    
    
  
    20. 
  
    
    
  
  20.        _...._
    21. 
  
    
    
  
  21.      .'  _ _ `.
    22. 
  
    
    
  
  22.     | ."` ^ `". _,
    23. 
  
    
    
  
  23.     \_;`"---"`|//
    24. 
  
    
    
  
  24.       |       ;/
    25. 
  
    
    
  
  25.       \_     _/
    26. 
  
    
    
  
  26.         `"""`
    27. 
  
    
    
  
    28. 
  
    
    
  
  28. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin]$
    29.

  • https测试结果。

  • 通过https方式访问httpbin.7cb9a9b7b318440399a0.eastus.aksapp.io，可以正常访问httpbin pod。

mTLS单主机环境

相关拓扑

Istio Ingress Gateway中的Envoy配置解析

  • 使用azure aks环境。

  • ingress gateway的service类型为loadbalancer。

  • ingress gateway的service enternal ip为104.211.54.62。

  • 通过该external ip对应的域名，访问ingress gateway svc。

  • 客户端使用mtls方式访问主机。

  • mtls请求在ingress gateway处被卸载，并转化为http请求。

Istio Ingress Gateway中的Envoy配置解析

  • 增加gateway定义。

  • gateway定义中的监听端口443。

  • 在443中启用mtls。

  • 指定443的key和cert。

  • 指定443的ca cert。

  • 指定允许连接443的san。

  • 增加virtualservice定义，并定义相应路由规则。

相关配置

 
   
   
 
    
  
    
    
  
  1. openssl req 
    2. 
  
    
    
  
  2. -newkey rsa:4096 -nodes -sha256 -keyout ca.key 
    3. 
  
    
    
  
  3. -x509 -days 3655 -out ca.crt
    4. 
  
    
    
  
    5. 
  
    
    
  
  5. openssl req 
    6. 
  
    
    
  
  6. -newkey rsa:4096 -nodes -sha256 -keyout httpbin-mtls.key 
    7. 
  
    
    
  
  7. -out httpbin-mtls.csr
    8. 
  
    
    
  
    9. 
  
    
    
  
  9. echo subjectAltName = DNS:httpbin.6491dea3ce6b4d17b109.eastus.aksapp.io > extfile-httpbin-mtls.cnf
    10. 
  
    
    
  
    11. 
  
    
    
  
  11. openssl x509 
    12. 
  
    
    
  
  12. -req -days 3655 -in httpbin-mtls.csr -CA ca.crt -CAkey ca.key 
    13. 
  
    
    
  
  13. -CAcreateserial -extfile extfile-httpbin-mtls.cnf -out httpbin-mtls.crt
    14. 
  
    
    
  
    15. 
  
    
    
  
  15. openssl req 
    16. 
  
    
    
  
  16. -newkey rsa:4096 -nodes -sha256 -keyout client.key 
    17. 
  
    
    
  
  17. -out client.csr
    18. 
  
    
    
  
    19. 
  
    
    
  
  19. echo subjectAltName = DNS:is5.istio.client > client-extfile.cnf
    20. 
  
    
    
  
    21. 
  
    
    
  
  21. openssl x509 
    22. 
  
    
    
  
  22. -req -days 3655 -in client.csr -CA ca.crt -CAkey ca.key 
    23. 
  
    
    
  
  23. -CAcreateserial -extfile client-extfile.cnf -out client.crt
    24. 
  
    
    
  
    25. 
  
    
    
  
  25. kubectl create -n istio-system secret tls istio-ingressgateway-certs --key ./httpbin-mtls.key --cert ./httpbin-mtls.crt
    26. 
  
    
    
  
  26. kubectl create -n istio-system secret generic istio-ingressgateway-ca-certs --from-file ./ca.crt
    27.

  • server端自签名证书相关配置。

  • client端自签名证书相关配置。

  • k8s secret相关配置。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: Gateway
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-mtls-gateway
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   selector:
    7. 
  
    
    
  
  7.     istio: ingressgateway
    8. 
  
    
    
  
  8.   servers:
    9. 
  
    
    
  
  9.   - port:
    10. 
  
    
    
  
  10.       number: 443
    11. 
  
    
    
  
  11.       name: https-httpbin
    12. 
  
    
    
  
  12.       protocol: HTTPS
    13. 
  
    
    
  
  13.     tls:
    14. 
  
    
    
  
  14.       mode: MUTUAL
    15. 
  
    
    
  
  15.       serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
    16. 
  
    
    
  
  16.       privateKey: /etc/istio/ingressgateway-certs/tls.key
    17. 
  
    
    
  
  17.       caCertificates: /etc/istio/ingressgateway-ca-certs/ca.crt
    18. 
  
    
    
  
  18.       subjectAltNames:
    19. 
  
    
    
  
  19.       - is5.istio.client
    20. 
  
    
    
  
  20.     hosts:
    21. 
  
    
    
  
  21.     - "httpbin.6491dea3ce6b4d17b109.eastus.aksapp.io"
    22.

  • gateway相关配置。

  • 新建监听端口443。

  • 在443中启用mtls。

  • 指定443的key和cert。

  • 指定443的ca cert。

  • 指定允许连接443的san。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: VirtualService
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-tls-vs
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   hosts:
    7. 
  
    
    
  
  7.   - "httpbin.6491dea3ce6b4d17b109.eastus.aksapp.io"
    8. 
  
    
    
  
  8.   gateways:
    9. 
  
    
    
  
  9.   - httpbin-mtls-gateway
    10. 
  
    
    
  
  10.   http:
    11. 
  
    
    
  
  11.   - match:
    12. 
  
    
    
  
  12.     - uri:
    13. 
  
    
    
  
  13.         prefix: /status
    14. 
  
    
    
  
  14.     route:
    15. 
  
    
    
  
  15.     - destination:
    16. 
  
    
    
  
  16.         port:
    17. 
  
    
    
  
  17.           number: 8000
    18. 
  
    
    
  
  18.         host: httpbin.default.svc.cluster.local
    19.

  • virtualservice相关配置。

  • 配置相关路由。

 
   
   
 
    
  
    
    
  
  1. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$ http https://httpbin.6491dea3ce6b4d17b109.eastus.aksapp.io/status/418 --verify no --cert ./client.crt --cert-key ./client.key
    2. 
  
    
    
  
  2. HTTP/1.1 418 Unknown
    3. 
  
    
    
  
  3. access-control-allow-credentials: true
    4. 
  
    
    
  
  4. access-control-allow-origin: *
    5. 
  
    
    
  
  5. content-length: 135
    6. 
  
    
    
  
  6. date: Sun, 04 Nov 2018 15:28:47 GMT
    7. 
  
    
    
  
  7. server: envoy
    8. 
  
    
    
  
  8. x-envoy-upstream-service-time: 6
    9. 
  
    
    
  
  9. x-more-info: http://tools.ietf.org/html/rfc2324
    10. 
  
    
    
  
    11. 
  
    
    
  
  11.     -=[ teapot ]=-
    12. 
  
    
    
  
    13. 
  
    
    
  
  13.        _...._
    14. 
  
    
    
  
  14.      .'  _ _ `.
    15. 
  
    
    
  
  15.     | ."` ^ `". _,
    16. 
  
    
    
  
  16.     \_;`"---"`|//
    17. 
  
    
    
  
  17.       |       ;/
    18. 
  
    
    
  
  18.       \_     _/
    19. 
  
    
    
  
  19.         `"""`
    20. 
  
    
    
  
    21. 
  
    
    
  
  21. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]
    22.

  • 测试结果。

  • 通过https mtls方式访问httpbin.6491dea3ce6b4d17b109.eastus.aksapp.io，可以正常访问httpbin pod。

非TLS多主机环境

相关拓扑

Istio Ingress Gateway中的Envoy配置解析

  • 使用azure aks环境。

  • ingress gateway的service类型为loadbalancer。

  • ingress gateway的service enternal ip为104.211.54.62。

  • 通过该external ip对应的域名，访问ingress gateway svc。

  • 2个主机，分别为：httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io和httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io。

  • 客户端使用http方式访问主机。

Istio Ingress Gateway中的Envoy配置解析

  • 为2个主机配置统一的gateway定义。

  • 为2个主机分别配置virtualservice定义。

  • 主机httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io被路由至pod httpbin-a的/status uri。

  • 主机httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io被路由至pod httpbin-b的/headers uri。

  • 在gateway的listnener中生成统一的监听0.0.0.0_80。

  • 在gateway的route中分别生成针对httpbin-a和httpbin-b的虚拟主机。

相关配置

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: Gateway
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-dual-gateway
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   selector:
    7. 
  
    
    
  
  7.     istio: ingressgateway
    8. 
  
    
    
  
  8.   servers:
    9. 
  
    
    
  
  9.   - port:
    10. 
  
    
    
  
  10.       number: 80
    11. 
  
    
    
  
  11.       name: http-httpbin
    12. 
  
    
    
  
  12.       protocol: HTTP
    13. 
  
    
    
  
  13.     hosts:
    14. 
  
    
    
  
  14.     - "httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io"
    15. 
  
    
    
  
  15.     - "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io"
    16. 
  
    
    
  
    17. 
  
    
    
  
  17. apiVersion: networking.istio.io/v1alpha3
    18. 
  
    
    
  
  18. kind: Gateway
    19. 
  
    
    
  
  19. metadata:
    20. 
  
    
    
  
  20.   name: httpbin-dual-gateway
    21. 
  
    
    
  
  21. spec:
    22. 
  
    
    
  
  22.   selector:
    23. 
  
    
    
  
  23.     istio: ingressgateway
    24. 
  
    
    
  
  24.   servers:
    25. 
  
    
    
  
  25.   - port:
    26. 
  
    
    
  
  26.       number: 80
    27. 
  
    
    
  
  27.       name: http-httpbina
    28. 
  
    
    
  
  28.       protocol: HTTP
    29. 
  
    
    
  
  29.     hosts:
    30. 
  
    
    
  
  30.     - "httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io"
    31. 
  
    
    
  
  31.   - port:
    32. 
  
    
    
  
  32.       number: 80
    33. 
  
    
    
  
  33.       name: http-httpbinb
    34. 
  
    
    
  
  34.       protocol: HTTP
    35. 
  
    
    
  
  35.     hosts:
    36. 
  
    
    
  
  36.     - "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io"
    37.

  • gateway相关配置。

  • 这2个gateway的配置，生成的envoy配置是一致的。

  • 新建监听端口80。

  • 分别针对两个主机httpbin-a和httpbin-b进行监听。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: VirtualService
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-a-vs
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   hosts:
    7. 
  
    
    
  
  7.   - "httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io"
    8. 
  
    
    
  
  8.   gateways:
    9. 
  
    
    
  
  9.   - httpbin-dual-gateway
    10. 
  
    
    
  
  10.   http:
    11. 
  
    
    
  
  11.   - match:
    12. 
  
    
    
  
  12.     - uri:
    13. 
  
    
    
  
  13.         prefix: /status
    14. 
  
    
    
  
  14.     route:
    15. 
  
    
    
  
  15.     - destination:
    16. 
  
    
    
  
  16.         port:
    17. 
  
    
    
  
  17.           number: 8000
    18. 
  
    
    
  
  18.         host: httpbin-a.default.svc.cluster.local
    19. 
  
    
    
  
    20. 
  
    
    
  
  20. apiVersion: networking.istio.io/v1alpha3
    21. 
  
    
    
  
  21. kind: VirtualService
    22. 
  
    
    
  
  22. metadata:
    23. 
  
    
    
  
  23.   name: httpbin-b-vs
    24. 
  
    
    
  
  24. spec:
    25. 
  
    
    
  
  25.   hosts:
    26. 
  
    
    
  
  26.   - "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io"
    27. 
  
    
    
  
  27.   gateways:
    28. 
  
    
    
  
  28.   - httpbin-dual-gateway
    29. 
  
    
    
  
  29.   http:
    30. 
  
    
    
  
  30.   - match:
    31. 
  
    
    
  
  31.     - uri:
    32. 
  
    
    
  
  32.         prefix: /headers
    33. 
  
    
    
  
  33.     route:
    34. 
  
    
    
  
  34.     - destination:
    35. 
  
    
    
  
  35.         port:
    36. 
  
    
    
  
  36.           number: 8000
    37. 
  
    
    
  
  37.         host: httpbin-b.default.svc.cluster.local
    38.

  • httpbin-a和httpbin-b的virtualservice相关配置。

  • httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io的/status请求被路由至httpbin-a。

  • httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io的/headers请求被路由至httpbin-b。

 
   
   
 
    
  
    
    
  
  1. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$ http http://httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io/status/418
    2. 
  
    
    
  
  2. HTTP/1.1 418 Unknown
    3. 
  
    
    
  
  3. access-control-allow-credentials: true
    4. 
  
    
    
  
  4. access-control-allow-origin: *
    5. 
  
    
    
  
  5. content-length: 135
    6. 
  
    
    
  
  6. date: Sun, 04 Nov 2018 16:27:07 GMT
    7. 
  
    
    
  
  7. server: envoy
    8. 
  
    
    
  
  8. x-envoy-upstream-service-time: 10
    9. 
  
    
    
  
  9. x-more-info: http://tools.ietf.org/html/rfc2324
    10. 
  
    
    
  
    11. 
  
    
    
  
  11.     -=[ teapot ]=-
    12. 
  
    
    
  
    13. 
  
    
    
  
  13.        _...._
    14. 
  
    
    
  
  14.      .'  _ _ `.
    15. 
  
    
    
  
  15.     | ."` ^ `". _,
    16. 
  
    
    
  
  16.     \_;`"---"`|//
    17. 
  
    
    
  
  17.       |       ;/
    18. 
  
    
    
  
  18.       \_     _/
    19. 
  
    
    
  
  19.         `"""`
    20. 
  
    
    
  
    21. 
  
    
    
  
  21. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$ http http://httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io/headers
    22. 
  
    
    
  
  22. HTTP/1.1 200 OK
    23. 
  
    
    
  
  23. access-control-allow-credentials: true
    24. 
  
    
    
  
  24. access-control-allow-origin: *
    25. 
  
    
    
  
  25. content-length: 412
    26. 
  
    
    
  
  26. content-type: application/json
    27. 
  
    
    
  
  27. date: Sun, 04 Nov 2018 16:27:25 GMT
    28. 
  
    
    
  
  28. server: envoy
    29. 
  
    
    
  
  29. x-envoy-upstream-service-time: 7
    30. 
  
    
    
  
    31. 
  
    
    
  
  31. {
    32. 
  
    
    
  
  32.     "headers": {
    33. 
  
    
    
  
  33.         "Accept": "*/*",
    34. 
  
    
    
  
  34.         "Accept-Encoding": "gzip, deflate",
    35. 
  
    
    
  
  35.         "Content-Length": "0",
    36. 
  
    
    
  
  36.         "Host": "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io",
    37. 
  
    
    
  
  37.         "User-Agent": "HTTPie/0.9.9",
    38. 
  
    
    
  
  38.         "X-B3-Sampled": "1",
    39. 
  
    
    
  
  39.         "X-B3-Spanid": "9b6889437bfe02c8",
    40. 
  
    
    
  
  40.         "X-B3-Traceid": "9b6889437bfe02c8",
    41. 
  
    
    
  
  41.         "X-Envoy-Internal": "true",
    42. 
  
    
    
  
  42.         "X-Request-Id": "e43ae114-52dd-9ee4-930b-dbb0405c6fef"
    43. 
  
    
    
  
  43.     }
    44. 
  
    
    
  
  44. }
    45. 
  
    
    
  
    46. 
  
    
    
  
  46. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$
    47.

  • 测试结果。

  • 请求httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io/status/418和httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io/headers均可以被正确路由。

TLS多主机环境

相关拓扑

Istio Ingress Gateway中的Envoy配置解析

  • 使用azure aks环境。

  • ingress gateway的service类型为loadbalancer。

  • ingress gateway的service enternal ip为104.211.54.62。

  • 通过该external ip对应的域名，访问ingress gateway svc。

  • 2个主机，分别为：httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io和httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io。

  • 客户端使用tls方式访问主机。

Istio Ingress Gateway中的Envoy配置解析

  • 为2个主机分别配置gateway中的server定义。

  • 为2个主机的server定义中增加证书的定义，每个server使用不同的证书。

  • 为2个主机分别配置virtualservice定义。

  • 在gateway的listnener中生成统一的监听0.0.0.0_443。

  • 因为gateway中配置的2个server中有不相同的配置，所以在监听0.0.0.0_443中，会生成2个server，分别为httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io和httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io。

  • 因为监听中生成2个server，所以在路由中会生成2条不同的路由相对应，在gateway的路由中生成分别的虚拟主机https.443.https-httpbina和https.443.https-httpbinb。

  • 监听0.0.0.0_443所属的server httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io被关联至路由https.443.https-httpbina，server httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io被关联至路由https.443.https-httpbinb。

  • 主机httpbin-a被路由至pod httpbin-a的/status uri。

  • 主机httpbin-b被路由至pod httpbin-b的/headers uri。

相关配置

 
   
   
 
    
  
    
    
  
  1. openssl req 
    2. 
  
    
    
  
  2. -newkey rsa:4096 -nodes -sha256 -keyout ca.key 
    3. 
  
    
    
  
  3. -x509 -days 3655 -out ca.crt
    4. 
  
    
    
  
    5. 
  
    
    
  
  5. openssl req 
    6. 
  
    
    
  
  6. -newkey rsa:4096 -nodes -sha256 -keyout httpbin-a-tls.key 
    7. 
  
    
    
  
  7. -out httpbin-a-tls.csr
    8. 
  
    
    
  
    9. 
  
    
    
  
  9. echo subjectAltName = DNS:httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io > extfile-httpbin-a-tls.cnf
    10. 
  
    
    
  
    11. 
  
    
    
  
  11. openssl x509 
    12. 
  
    
    
  
  12. -req -days 3655 -in httpbin-a-tls.csr -CA ca.crt -CAkey ca.key 
    13. 
  
    
    
  
  13. -CAcreateserial -extfile extfile-httpbin-a-tls.cnf -out httpbin-a-tls.crt
    14. 
  
    
    
  
    15. 
  
    
    
  
  15. openssl req 
    16. 
  
    
    
  
  16. -newkey rsa:4096 -nodes -sha256 -keyout httpbin-b-tls.key 
    17. 
  
    
    
  
  17. -out httpbin-b-tls.csr
    18. 
  
    
    
  
    19. 
  
    
    
  
  19. echo subjectAltName = DNS:httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io > extfile-httpbin-b-tls.cnf
    20. 
  
    
    
  
    21. 
  
    
    
  
  21. openssl x509 
    22. 
  
    
    
  
  22. -req -days 3655 -in httpbin-b-tls.csr -CA ca.crt -CAkey ca.key 
    23. 
  
    
    
  
  23. -CAcreateserial -extfile extfile-httpbin-b-tls.cnf -out httpbin-b-tls.crt
    24. 
  
    
    
  
    25. 
  
    
    
  
  25. kubectl create -n istio-system secret tls istio-ingressgateway-httpbin-a-certs --key ./httpbin-a-tls.key --cert ./httpbin-a-tls.crt
    26. 
  
    
    
  
  26. kubectl create -n istio-system secret tls istio-ingressgateway-httpbin-b-certs --key ./httpbin-b-tls.key --cert ./httpbin-b-tls.crt
    27.

  • 自签名证书相关配置。

  • k8s secret相关配置。

 
   
   
 
    
  
    
    
  
  1. helm template install/kubernetes/helm/istio/ --name istio-ingressgateway --namespace istio-system -x charts/gateways/templates/deployment.yaml --set gateways.istio-egressgateway.enabled=false 
    2. 
  
    
    
  
  2. --set gateways.istio-ingressgateway.secretVolumes[0].name=ingressgateway-ca-certs 
    3. 
  
    
    
  
  3. --set gateways.istio-ingressgateway.secretVolumes[0].secretName=istio-ingressgateway-ca-certs 
    4. 
  
    
    
  
  4. --set gateways.istio-ingressgateway.secretVolumes[0].mountPath=/etc/istio/ingressgateway-ca-certs 
    5. 
  
    
    
  
  5. --set gateways.istio-ingressgateway.secretVolumes[1].name=ingressgateway-httpbin-a-certs 
    6. 
  
    
    
  
  6. --set gateways.istio-ingressgateway.secretVolumes[1].secretName=istio-ingressgateway-httpbin-a-certs 
    7. 
  
    
    
  
  7. --set gateways.istio-ingressgateway.secretVolumes[1].mountPath=/etc/istio/ingressgateway-httpbin-a-certs 
    8. 
  
    
    
  
  8. --set gateways.istio-ingressgateway.secretVolumes[2].name=ingressgateway-httpbin-b-certs 
    9. 
  
    
    
  
  9. --set gateways.istio-ingressgateway.secretVolumes[2].secretName=istio-ingressgateway-httpbin-b-certs 
    10. 
  
    
    
  
  10. --set gateways.istio-ingressgateway.secretVolumes[2].mountPath=/etc/istio/ingressgateway-httpbin-b-certs > 
    11. 
  
    
    
  
  11. ./helm-ingressgateway-httpbin-dual-tls.yaml
    12. 
  
    
    
  
    13. 
  
    
    
  
  13. ...
    14. 
  
    
    
  
  14.           volumeMounts:
    15. 
  
    
    
  
  15.           - name: istio-certs
    16. 
  
    
    
  
  16.             mountPath: /etc/certs
    17. 
  
    
    
  
  17.             readOnly: true
    18. 
  
    
    
  
  18.           - name: ingressgateway-ca-certs
    19. 
  
    
    
  
  19.             mountPath: "/etc/istio/ingressgateway-ca-certs"
    20. 
  
    
    
  
  20.             readOnly: true
    21. 
  
    
    
  
  21.           - name: ingressgateway-httpbin-a-certs
    22. 
  
    
    
  
  22.             mountPath: "/etc/istio/ingressgateway-httpbin-a-certs"
    23. 
  
    
    
  
  23.             readOnly: true
    24. 
  
    
    
  
  24.           - name: ingressgateway-httpbin-b-certs
    25. 
  
    
    
  
  25.             mountPath: "/etc/istio/ingressgateway-httpbin-b-certs"
    26. 
  
    
    
  
  26.             readOnly: true
    27. 
  
    
    
  
  27.       volumes:
    28. 
  
    
    
  
  28.       - name: istio-certs
    29. 
  
    
    
  
  29.         secret:
    30. 
  
    
    
  
  30.           secretName: istio.istio-ingressgateway-service-account
    31. 
  
    
    
  
  31.           optional: true
    32. 
  
    
    
  
  32.       - name: ingressgateway-ca-certs
    33. 
  
    
    
  
  33.         secret:
    34. 
  
    
    
  
  34.           secretName: "istio-ingressgateway-ca-certs"
    35. 
  
    
    
  
  35.           optional: true
    36. 
  
    
    
  
  36.       - name: ingressgateway-httpbin-a-certs
    37. 
  
    
    
  
  37.         secret:
    38. 
  
    
    
  
  38.           secretName: "istio-ingressgateway-httpbin-a-certs"
    39. 
  
    
    
  
  39.           optional: true
    40. 
  
    
    
  
  40.       - name: ingressgateway-httpbin-b-certs
    41. 
  
    
    
  
  41.         secret:
    42. 
  
    
    
  
  42.           secretName: "istio-ingressgateway-httpbin-b-certs"
    43. 
  
    
    
  
  43.           optional: true
    44. 
  
    
    
  
  44. ...
    45.

  • 修改了ingress gateway deployment的配置，可以支持多个证书。

  • 分别包含域名为httpbin-a和httpbin-b的证书。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: Gateway
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-dual-tls-gateway
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   selector:
    7. 
  
    
    
  
  7.     istio: ingressgateway
    8. 
  
    
    
  
  8.   servers:
    9. 
  
    
    
  
  9.   - port:
    10. 
  
    
    
  
  10.       number: 443
    11. 
  
    
    
  
  11.       name: https-httpbina
    12. 
  
    
    
  
  12.       protocol: HTTPS
    13. 
  
    
    
  
  13.     tls:
    14. 
  
    
    
  
  14.       mode: SIMPLE
    15. 
  
    
    
  
  15.       serverCertificate: /etc/istio/ingressgateway-httpbin-a-certs/tls.crt
    16. 
  
    
    
  
  16.       privateKey: /etc/istio/ingressgateway-httpbin-a-certs/tls.key
    17. 
  
    
    
  
  17.     hosts:
    18. 
  
    
    
  
  18.     - "httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io"
    19. 
  
    
    
  
  19.   - port:
    20. 
  
    
    
  
  20.       number: 443
    21. 
  
    
    
  
  21.       name: https-httpbinb
    22. 
  
    
    
  
  22.       protocol: HTTPS
    23. 
  
    
    
  
  23.     tls:
    24. 
  
    
    
  
  24.       mode: SIMPLE
    25. 
  
    
    
  
  25.       serverCertificate: /etc/istio/ingressgateway-httpbin-b-certs/tls.crt
    26. 
  
    
    
  
  26.       privateKey: /etc/istio/ingressgateway-httpbin-b-certs/tls.key
    27. 
  
    
    
  
  27.     hosts:
    28. 
  
    
    
  
  28.     - "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io"
    29.

  • gateway相关配置。

  • 分别定义2个server，每个server配置不同的证书。

 
   
   
 
    
  
    
    
  
  1. apiVersion: networking.istio.io/v1alpha3
    2. 
  
    
    
  
  2. kind: VirtualService
    3. 
  
    
    
  
  3. metadata:
    4. 
  
    
    
  
  4.   name: httpbin-a-vs
    5. 
  
    
    
  
  5. spec:
    6. 
  
    
    
  
  6.   hosts:
    7. 
  
    
    
  
  7.   - "httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io"
    8. 
  
    
    
  
  8.   gateways:
    9. 
  
    
    
  
  9.   - httpbin-dual-tls-gateway
    10. 
  
    
    
  
  10.   http:
    11. 
  
    
    
  
  11.   - match:
    12. 
  
    
    
  
  12.     - uri:
    13. 
  
    
    
  
  13.         prefix: /status
    14. 
  
    
    
  
  14.     route:
    15. 
  
    
    
  
  15.     - destination:
    16. 
  
    
    
  
  16.         port:
    17. 
  
    
    
  
  17.           number: 8000
    18. 
  
    
    
  
  18.         host: httpbin-a.default.svc.cluster.local
    19. 
  
    
    
  
    20. 
  
    
    
  
  20. apiVersion: networking.istio.io/v1alpha3
    21. 
  
    
    
  
  21. kind: VirtualService
    22. 
  
    
    
  
  22. metadata:
    23. 
  
    
    
  
  23.   name: httpbin-b-vs
    24. 
  
    
    
  
  24. spec:
    25. 
  
    
    
  
  25.   hosts:
    26. 
  
    
    
  
  26.   - "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io"
    27. 
  
    
    
  
  27.   gateways:
    28. 
  
    
    
  
  28.   - httpbin-dual-tls-gateway
    29. 
  
    
    
  
  29.   http:
    30. 
  
    
    
  
  30.   - match:
    31. 
  
    
    
  
  31.     - uri:
    32. 
  
    
    
  
  32.         prefix: /headers
    33. 
  
    
    
  
  33.     route:
    34. 
  
    
    
  
  34.     - destination:
    35. 
  
    
    
  
  35.         port:
    36. 
  
    
    
  
  36.           number: 8000
    37. 
  
    
    
  
  37.         host: httpbin-b.default.svc.cluster.local
    38.

  • httpbin-a和httpbin-b的virtualservice相关配置。

  • httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io的/status请求被路由至httpbin-a。

  • httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io的/headers请求被路由至httpbin-b。

 
   
   
 
    
  
    
    
  
  1. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$ http https://httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io/status/418 --verify no
    2. 
  
    
    
  
  2. HTTP/1.1 418 Unknown
    3. 
  
    
    
  
  3. access-control-allow-credentials: true
    4. 
  
    
    
  
  4. access-control-allow-origin: *
    5. 
  
    
    
  
  5. content-length: 135
    6. 
  
    
    
  
  6. date: Sun, 04 Nov 2018 17:36:30 GMT
    7. 
  
    
    
  
  7. server: envoy
    8. 
  
    
    
  
  8. x-envoy-upstream-service-time: 6
    9. 
  
    
    
  
  9. x-more-info: http://tools.ietf.org/html/rfc2324
    10. 
  
    
    
  
    11. 
  
    
    
  
  11.     -=[ teapot ]=-
    12. 
  
    
    
  
    13. 
  
    
    
  
  13.        _...._
    14. 
  
    
    
  
  14.      .'  _ _ `.
    15. 
  
    
    
  
  15.     | ."` ^ `". _,
    16. 
  
    
    
  
  16.     \_;`"---"`|//
    17. 
  
    
    
  
  17.       |       ;/
    18. 
  
    
    
  
  18.       \_     _/
    19. 
  
    
    
  
  19.         `"""`
    20. 
  
    
    
  
    21. 
  
    
    
  
  21. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$ http https://httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io/headers --verify no
    22. 
  
    
    
  
  22. HTTP/1.1 200 OK
    23. 
  
    
    
  
  23. access-control-allow-credentials: true
    24. 
  
    
    
  
  24. access-control-allow-origin: *
    25. 
  
    
    
  
  25. content-length: 412
    26. 
  
    
    
  
  26. content-type: application/json
    27. 
  
    
    
  
  27. date: Sun, 04 Nov 2018 17:36:33 GMT
    28. 
  
    
    
  
  28. server: envoy
    29. 
  
    
    
  
  29. x-envoy-upstream-service-time: 8
    30. 
  
    
    
  
    31. 
  
    
    
  
  31. {
    32. 
  
    
    
  
  32.     "headers": {
    33. 
  
    
    
  
  33.         "Accept": "*/*",
    34. 
  
    
    
  
  34.         "Accept-Encoding": "gzip, deflate",
    35. 
  
    
    
  
  35.         "Content-Length": "0",
    36. 
  
    
    
  
  36.         "Host": "httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io",
    37. 
  
    
    
  
  37.         "User-Agent": "HTTPie/0.9.9",
    38. 
  
    
    
  
  38.         "X-B3-Sampled": "1",
    39. 
  
    
    
  
  39.         "X-B3-Spanid": "27a46e99214fe1e1",
    40. 
  
    
    
  
  40.         "X-B3-Traceid": "27a46e99214fe1e1",
    41. 
  
    
    
  
  41.         "X-Envoy-Internal": "true",
    42. 
  
    
    
  
  42.         "X-Request-Id": "6c1ace56-7f57-9b0d-bb3d-2eb57519c4a2"
    43. 
  
    
    
  
  43.     }
    44. 
  
    
    
  
  44. }
    45. 
  
    
    
  
    46. 
  
    
    
  
  46. [~/K8s/istio/istio-azure-1.0.2/samples/httpbin/ssl]$
    47.

  • 测试结果。

  • 请求httpbin-a.6491dea3ce6b4d17b109.eastus.aksapp.io/status/418和httpbin-b.6491dea3ce6b4d17b109.eastus.aksapp.io/headers均可以被正确路由。

点击【阅读原文】跳转到网站上浏览可以查看文中的链接。

Istio免费直播课程推荐

本课程来自 IBM 微课程，通过视频直播的方式帮助您快速了解 Istio，每周一期。

11月1日 Istio初探（已结束，由孙琳分享）

11月8日

11月15日 Istio的安全管理

11月22日 Envoy

11月29日 使用Istio来监控和可视化微服务

12月6日 Istio mixer - 基本概念，策略、遥测与扩展

12月13日 Istio跨云管理方案解析

12月20日 Istio使用案例：Serverless 平台knative

详情请参考：

Istio Ingress Gateway中的Envoy配置解析

  • SOFAMesh（https://github.com/alipay/sofa-mesh）基于Istio的大规模服务网格解决方案

  • SOFAMosn（https://github.com/alipay/sofa-mosn）使用Go语言开发的高性能Sidecar代理

合作社区

参与社区

以下是参与ServiceMesher社区的方式，最简单的方式是联系我！

  • 社区网址：http://www.servicemesher.com

  • Slack：https://servicemesher.slack.com （需要邀请才能加入）

  • GitHub：https://github.com/servicemesher

  • Istio中文文档进度追踪：https://github.com/servicemesher/istio-official-translation

  • Twitter: https://twitter.com/servicemesher

  • 提供文章线索与投稿：https://github.com/servicemesher/trans


以上是关于Istio Ingress Gateway中的Envoy配置解析的主要内容，如果未能解决你的问题，请参考以下文章

K8S Istio 入口网关 (Ingress Gateway)

Service Mesh - Istio流量控制篇（下）

主机匹配不在istio网关中工作

来自Istio的儿童节礼物: 0.8 Release发布

教程 | Kubernetes上运行Istio Ingress Controller

Istio 大入门 — Egress Gateway