English日本語

云计算安全+

拥抱NFV,Istio 1.1将支撑多网络平面


发布时间 2019-05-08  


Istio 1.0版本只支撑在单个网络,即Mesh中的服务只能连接在一个网络上。虽然在架构设计上是开放的,但从目前的代码来看,Istio的内部实现还是和Kubernetes高度集成的。由于Kubernetes集群中Pod缺省只支撑一个网络接口,因此Istio也存在该限制并不让人意外。


随着Kubernetes在NFV领域中的逐渐应用,已经出现多个Kubernetes的多网络平面解决方案,Istio也需要考虑支撑多网络平面,以为5G的微服务化架构提供服务通讯和管控的基础设施。


多网络平面是一个电信行业的常用术语,即将一个电信设备或者系统同时连接到多个网络上。简而言之,就是一个主机上有多个物理或者虚拟的网络接口,这些接口分别连接到不同的网络,这些网络之间一般是相互独立的。由于电信系统对可靠性的要求非常高,因此系统会通过配置多网络平面来避免不同网络流量的相互影响,提高系统的健壮性。


在电信的NFV(网络功能虚拟化)领域中,已经有多个针对Kubernetes的多网络平面解决方案。其中一个Kubernetes推荐的方案是中兴通讯提供的Knitter开源实现。下图展示了Knitter是如何实现Kubernetes的多网络平面支撑的。


 

要支撑多网络平面,Istio需要修改Pilot生成Outbound Listener的代码实现


 

服务注册:


1) Envoy所在节点存在两个网络接口,分别连接到10.75.8.0/24和192.168.10.0/24两个网络上。
2) Service A被注册到Service Registry中,使用的是第二个网络接口的IP,即10.75.8.101。
Envoy初始化(增加多网络平面处理逻辑):
1) Envoy通过xDS接口向Pilot获取配置信息。
2) Envoy在xDS请求中携带所在节点上的所有网络接口的IP,在本例中即192.168.10.63和10.75.8.101。
3) Pilot从xDS请求中解析出Envoy所在节点的所有IP,在本例中即192.168.10.63和10.75.8.101。
4) Pilot用Envoy节点IP来和Service Registry中所有Service Instance的IP进行对比。

5) 由于Service A的注册IP 10.75.8.101和节点的两个IP之一相同,Pilot判断该节点上存在Service A的Instance,为Service A创建了一个Inbound Listener。


服务请求:


1) 节点的网络接口10.75.8.101上收到一个来自downstream的请求,被重定向到Envoy。
2) Envoy在15001端口上收到该请求,要求访问Service A。
3) Envoy根据Pilot下发的配置将该请求交由在Service A端口的Inbound Listener,该Listener将请求分发到Service A的Inbound Cluster上,对应IP地址为127.0.0。1。
4) Envoy将请求发送到127.0.0.1的Service A进程的服务端口上进行处理。
该修改方案已实现并提交PR合入到Istio 代码中,在1月份发布的Istio 1.1 Release中将会正式支撑。



相关推荐
重要看点
工业互联网
工业互联网

工业自动化控制系统,主要利用电子、电气、机械、App组合实现,广泛用于电力、水利、能源、数据采集等关键基础设施领域,包括SCADA、DCS、PLC等工业控制系统的安全问题。

XML 地图 | Sitemap 地图