Service Mesh: Istio, Linkerd

Service Mesh: Istio, Linkerd

1) Τι είναι το Service Mesh και πότε χρειάζεται

Το Service Mesh είναι στρώμα δεδομένων δικτύου/επιπέδου ελέγχου που παρέχει mTLS από άκρο σε άκρο, δρομολόγηση, ανοχή βλάβης και παρατηρησιμότητα μεταξύ υπηρεσιών χωρίς επαναγραφή κώδικα.

• Προκαθορισμένη ασφάλεια (μηδενική εμπιστοσύνη, ταυτότητες υπηρεσιών, πολιτική πρόσβασης).
• Διαχείριση της κυκλοφορίας (Canary/Blue-Green, A/B, σκιά).
• Αξιοπιστία (retras, timeouts, διακοπή κυκλώματος).
• Παρατηρησιμότητα (μετρήσεις, κούτσουρα, μονοπάτια).
• Λειτουργική τυποποίηση (πολιτικές ως κώδικας, GitOps).

• Πολλές μικροϋπηρεσίες με απαίτηση πολυγλωσσίας και mTLS.
• Ανάγκη προηγμένων σεναρίων δρομολόγησης/πειραματισμού χωρίς αλλαγή της εφαρμογής.
• Υπάρχουν απαιτήσεις ελέγχου/πολιτικής σε επίπεδο δικτύου.

2) Istio vs Linkerd - σύντομη σύγκριση

3) Μοντέλα αρχιτεκτονικής και εγκατάστασης

3. 1 Πλέγμα Sidecar (κλασικό)

Κάθε Pod λαμβάνει ένα ψηφοδέλτιο sidecar.
Pros: διάρκεια, πλήρης έλεγχος L7.
Cons: CPU/RAM εναέρια, πολυπλοκότητα της εξάντλησης/αποσφαλμάτωσης.

3. 2 Istio Ambient Mesh

ztunnel (L4) για τον κόμβο + διαμεσολαβητές σημείων διέλευσης (L7), όπως απαιτείται.
Πλεονεκτήματα: χαμηλότερο κόστος και πολυπλοκότητα, σταδιακή ένταξη της L7.
Cons: Δεν είναι διαθέσιμες όλες οι περιπτώσεις L7 χωρίς σημείο διαδρομής.

4) Ταυτότητα και mTLS (μηδενική εμπιστοσύνη)

4. 1 SPIFFE/SPIRE και πιστοποιητικά

Σε κάθε προπόνηση αποδίδεται ταυτότητα SPIFFE: 'spiffe ://cluster. τοπικό/ns/NS/sa/SA '.
Επαλήθευση ταυτότητας: αμοιβαία TLS μεταξύ υπηρεσιών.
Περιστροφή κλειδιού - αυτόματα (σύντομη TTL).

4. 2 Istio (PeerAuthentication + DepositionRule)

yaml apiVersion: security. istio. io/v1 kind: PeerAuthentication metadata: { name: default, namespace: payments }
spec:
mtls: { mode: STRICT }
apiVersion: networking. istio. io/v1 kind: DestinationRule metadata: { name: payments-dr, namespace: payments }
spec:
host: payments. svc. cluster. local trafficPolicy:
tls: { mode: ISTIO_MUTUAL }

4. 3 Linkerd - προεπιλογή mTLS

Ενεργοποιημένη μετά την εγκατάσταση του 'linkerd' + 'linkerd inject'.
Συστάδες - άγκυρα εμπιστοσύνης, αυτόματη περιστροφή.

5) Διαχείριση της κυκλοφορίας

5. 1 Istio: VirtualService (διαδρομές, καναρίνια)

yaml apiVersion: networking. istio. io/v1 kind: VirtualService metadata: { name: payments }
spec:
hosts: ["payments"]
http:
- route:
- destination: { host: payments, subset: v1 } # stable weight: 90
- destination: { host: payments, subset: v2 } # canary weight: 10 retries: { attempts: 2, perTryTimeout: 300ms }
timeout: 2s

yaml apiVersion: networking. istio. io/v1 kind: DestinationRule metadata: { name: payments }
spec:
host: payments subsets:
- name: v1 labels: { version: v1 }
- name: v2 labels: { version: v2 }
trafficPolicy:
loadBalancer: { simple: LEAST_CONN }
outlierDetection:
consecutive5xx: 5 interval: 5s baseEjectionTime: 30s maxEjectionPercent: 50

5. 2 Linkerd: προφίλ υπηρεσιών + TrafficSplit

yaml apiVersion: linkerd. io/v1alpha2 kind: ServiceProfile metadata:
name: payments. default. svc. cluster. local spec:
routes:
- name: POST /withdraw condition:
method: POST pathRegex: "/withdraw"
isRetryable: true timeout: 2s apiVersion: split. smi-spec. io/v1alpha2 kind: TrafficSplit metadata: { name: payments }
spec:
service: payments backends:
- service: payments-v1 weight: 90
- service: payments-v2 weight: 10

6) Είσοδος/Έξοδος και πύλες API

Istio Gateway (είσοδος/έξοδος) - χειριστήρια εισερχόμενης/εξερχόμενης κυκλοφορίας, τερματισμός TLS, mTLS διέλευσης.
Το Linkerd λειτουργεί με υφιστάμενους ελεγκτές εισόδου (NGINX/Contour/Traefik). έξοδος - μέσω NetworkPolicy/προτύπων εξόδου-πύλης.
Πολιτικές εξόδου: λευκοί τομείς, πολιτική SNI, άμεση απαγόρευση του διαδικτύου.

7) Έγκριση και πολιτική

7. 1 Πολιτική εξουσιοδότησης Istio (RBAC/ABAC)

yaml apiVersion: security. istio. io/v1 kind: AuthorizationPolicy metadata: { name: allow-withdraw, namespace: payments }
spec:
selector: { matchLabels: { app: payments } }
action: ALLOW rules:
- from:
- source:
principals: ["spiffe://cluster. local/ns/api/sa/gateway"]
to:
- operation:
methods: ["POST"]
paths: ["/withdraw"]
when:
- key: request. auth. claims[role]
values: ["cashout"]

7. Πολιτική 2 Linkerd (server + serverauthorization)

yaml apiVersion: policy. linkerd. io/v1beta3 kind: Server metadata: { name: payments-server, namespace: payments }
spec:
podSelector: { matchLabels: { app: payments } }
port: 8080 apiVersion: policy. linkerd. io/v1beta3 kind: ServerAuthorization metadata: { name: allow-gateway, namespace: payments }
spec:
server: { name: payments-server }
client:
meshTLS:
identities: [".ns. api. serviceaccount. identity. linkerd. cluster. local"]

8) Παρατηρησιμότητα και τηλεμετρία

8. 1 Μετρήσεις

Istio Telemetry API → Prometheus: 'istio _ requests _ total', 'istio _ request _ performation _ milliseconds _ bucket', 'istio _ tcp _ recorded _ bytes _ total'.
Linkerd viz: 'request _ total', latency p50/p95/p99, 'success _ rate'.

8. 2 Μονοπάτια και κούτσουρα

Push W3C Πλαίσιο ιχνηλάτησης.
Istio/Envoy → OTLP в OpenTelemetry Collector Linkerd - μέσω sidecar loggers/app SDK.

8. 3 Περιπτώσεις

Προσθήκη ίχνους _ id στα ιστογράμματα διάρκειας για άλμα σε ίχνος.

9) Όρια επιτοκίων, WAF, προσαρμοσμένα φίλτρα

Istio: EnvoyFilter/WASM για τα όρια τοπικού ρυθμού, eksternal-rate-limit service (Redis), καθώς και για τη λογική WAF (Lua/WASM).
Linkerd: περιορισμένη μητρική υποστήριξη· όριο ταχύτητας - σε επίπεδο εισόδου/πύλης.

10) Πολυσκευασία

Istio: Πύλη Ανατολής-Δύσης, κοινή PKI ή δέσμη εμπιστοσύνης, ανακάλυψη υπηρεσιών μέσω Service Entry, Federation.
Linkerd: 'linkerd multicluster link', gateway per cluster, service-mirror контроллер.

Περιπτώσεις χρήσης: περιοχές περιουσιακών στοιχείων, εντοπισμός κυκλοφορίας, ομόσπονδη μηδενική εμπιστοσύνη.

11) Επιδόσεις και κόστος

Sidecar mesh: CPU/RAM εναέρια ανά Pod, αυξημένη καθυστέρηση (συνήθως + 1-3 ms ανά λυκίσκο σε σταθερή κατάσταση).
Περιβάλλον (Istio): μικρότερη κατανάλωση για L4, L7 ενεργοποιείται στο σημείο.
Linkerd: Ελαφρύς διαμεσολαβητής είναι γενικά λιγότερο εναέρια, αλλά λιγότερο ακραίες δυνατότητες L7.
Πρακτική: μέτρηση p95/CPU πριν/μετά, διατήρηση των πυλών SLO για υποβάθμιση.

12) Ασφάλεια

mTLS παντού, σύντομη TTL, αυτόματη περιστροφή.
Πολιτική ως κώδικας (OPA/Gatekeeper, Kyverno) για την πολιτική «εξουσιοδότησης»: OPEN al prohibitions.
Μυστικά - μέσω CSI/θησαυροφυλακίου, όχι σε μανιφέστο.
Έλεγχος εξόδου: άρνηση εξ ορισμού, σαφείς επιτρεπόμενες λίστες.
Χωριστοί τομείς εμπιστοσύνης για περιβάλλοντα (prod/stage).

13) Ενσωμάτωση στις εκλύσεις και SLO

Οι Κανάριοι/Γαλάζιοι-Πράσινοι εφαρμόζονται μέσω διαδρομών ματιών (βλέπε παραδείγματα).
Metrics Analysis (Prometheus/SpanMetrics) in Argo Rollouts ProvidesTemplate - Hitchhiking/Rollback at burn-rate/p95/5xx.
Σημειώσεις των κυκλοφοριών στο Grafana: σύγκριση 'version = stable' canary '.

14) Αντι-μοτίβα

Συμπεριλαμβάνονται τα μάτια «παντού και αμέσως» → σοκ υποδομής.
Αγνοήστε την πληθικότητα των μετρήσεων/αρχείων καταγραφής από τον διαμεσολαβητή → υπερφόρτωση της αποθήκευσης TSDB/log.
Αφήστε το mTLS σε κατάσταση PERMISSIVE/αδιαφανές για πάντα.
Προσπαθήστε να κάνετε πολύπλοκη WAF/επιχειρηματική λογική μέσα EnvologyFilter αντί για πύλη/εφαρμογή.
Πολιτική απουσίας εξόδου - διαρροές στο διαδίκτυο/παράκαμψη συμμόρφωσης.
Διαμεσολαβητές με αποσφαλμάτωση ': 15000' ανοιχτό στο εξωτερικό.

15) Κατάλογος ελέγχου εφαρμογής (0-60 ημέρες)

0- 15 ηµέρες

Επιλογή μοντέλου: Sidecar vs Ambient (Istio )/Linkerd ανά προφίλ φορτίου.
Ενεργοποίηση του mTLS STRICT, βασικές πολιτικές εξουσιοδότησης για υπηρεσίες ζωτικής σημασίας 1-2.
Βασικές διαδρομές (timeout/redires), RED/SLO ταμπλό.

16-30 ημέρες

Canary/TrafficSplit, εξώτερη ανίχνευση/διακοπή κυκλώματος σε θερμές γραμμές.
ενσωμάτωση OTEL: μονοπάτια + υποδείγματα· ποσοστό έγκαυσης συναγερμού.
Πύλες εξόδου και δικτυακοί δικτυακοί τόποι. άρνηση εξ ορισμού.

31-60 ημέρες

Σύνδεσμος πολλαπλών συστάδων (εάν είναι απαραίτητο), εμπιστοσύνη ομοσπονδίας.
Πολιτική ως Code Authoris Policy/ServerAuthorization.
Ημέρα παιχνιδιού: προσομοίωση περιστατικού και ανατροπή διαδρομής/πολιτικής.

16) Μετρήσεις διάρκειας

mTLS (STRICT/αυτόματη περιστροφή) κάλυψη ≥ 95% των υπηρεσιών.
Το μερίδιο της κυκλοφορίας μέσω καναρινιών/προοδευτικών απελευθερώσεων ≥ 80%.
Μέσος όρος γενικών εξόδων p95 <+ 5% της γραμμής βάσης (μετά τη βελτιστοποίηση).
0 ανοικτή έξοδος χωρίς άδεια, 100% υπηρεσίες με βασική AuthZ.
RCA «από πρόγραμμα σε τροχιά» ≤ 2 λεπτά (p50).

17) Παραδείγματα «πολιτικής ως κώδικα»

Gatekeeper (απαγόρευση PERMISSIVE in prod)

yaml apiVersion: constraints. gatekeeper. sh/v1beta1 kind: K8sIstiomTLSStrict metadata: { name: deny-permissive-prod }
spec:
match:
kinds: [{ apiGroups: ["security. istio. io"], kinds: ["PeerAuthentication"] }]
namespaces: ["prod-"]
parameters:
allowedModes: ["STRICT"]

Kyverno (απαιτούμενες ετικέτες για VS/DR)

yaml apiVersion: kyverno. io/v1 kind: ClusterPolicy metadata: { name: require-mesh-labels }
spec:
rules:
- name: vs-dr-labels match:
any:
- resources:
kinds: ["VirtualService","DestinationRule"]
validate:
message: "owner and service labels required"
pattern:
metadata:
labels:
owner: "?"
service: "?"

18) Επιχειρησιακές συμβουλές

Πολιτικές και διαδρομές έκδοσης (semver), προώθηση μέσω GitOps.
Διαμεσολαβητικότητα: μεμονωμένα ταμπλό «διαμεσολαβητή κορεσμού» (CPU/σωρός, επαναλήψεις, 429/503).
Προϋπολογισμός πληθικότητας: «διαδρομή», «κωδικός», «προορισμός» - μόνο πρότυπο.
Όρια δικτύου/ποσοστώσεις χώρου ονομάτων (NetworkPolicy/LimitRange).
Τεκμηρίωση εντολών: runbook «πώς να ανατρέψετε τις διαδρομές mTLS/πολιτική/κλειδιά».

19) Συμπέρασμα

Οι Istio και Linkerd κάνουν το ίδιο πράγμα - τυποποιούν την ασφάλεια, την αξιοπιστία και την ορατότητα των διυπηρεσιακών επικοινωνιών - αλλά το κάνουν σε διαφορετικά βάθη και κόστος ιδιοκτησίας.

Χρειάζεστε πλούσιες ικανότητες L7 και ευέλικτες πολιτικές - πάρτε το Istio (σκεφτείτε το περιβάλλον για να μειώσετε τα γενικά έξοδα).
Χρειάζεται απλότητα και μικρά γενικά έξοδα - πάρτε Linkerd.

Όποιο πλέγμα και αν επιλέξετε: Ενεργοποιήστε το mTLS εξ ορισμού, διαχειριστείτε τη διαδρομή ως κώδικα, συσχετίστε μετρήσεις με κομμάτια, κλείσιμο εξόδου και προσθέστε SLO gating στις απελευθερώσεις. Στη συνέχεια, το στρώμα δικτύου θα πάψει να είναι ένα «μαύρο κουτί» και θα γίνει ένα προβλέψιμο εργαλείο για τη σταθερότητα και την ταχύτητα της αλλαγής.