उत्पादन में कुबेरनेट का उपयोग करके इस्तियो कैसे शुरू करें। भाग 1

इस्तियो क्या है? यह तथाकथित सेवा जाल है, एक तकनीक जो नेटवर्क पर अमूर्तता की एक परत जोड़ती है। हम क्लस्टर में ट्रैफ़िक के सभी या भाग को रोकते हैं और इसके साथ संचालन का एक विशिष्ट सेट करते हैं। कौन सा? उदाहरण के लिए, हम स्मार्ट रूटिंग करते हैं, या हम सर्किट ब्रेकर दृष्टिकोण को लागू करते हैं, हम "कैनरी परिनियोजन" को व्यवस्थित कर सकते हैं, ट्रैफ़िक को आंशिक रूप से सेवा के एक नए संस्करण में बदल सकते हैं, और हम बाहरी इंटरैक्शन को सीमित कर सकते हैं और क्लस्टर से बाहरी नेटवर्क की सभी यात्राओं को नियंत्रित कर सकते हैं। विभिन्न माइक्रोसर्विसेस के बीच अभियानों को नियंत्रित करने के लिए नीति नियम निर्धारित करना संभव है। अंत में, हम नेटवर्क पर इंटरैक्शन का पूरा नक्शा प्राप्त कर सकते हैं और अनुप्रयोगों के लिए मैट्रिक्स के एकीकृत संग्रह को पूरी तरह से पारदर्शी बना सकते हैं।

काम के तंत्र के बारे में आधिकारिक दस्तावेज में पाया जा सकता है। इस्तियो एक बहुत शक्तिशाली उपकरण है जो कई समस्याओं और समस्याओं को हल कर सकता है। इस लेख में, मैं मूल सवालों का जवाब देना चाहूंगा जो आमतौर पर इस्तियो के साथ काम की शुरुआत में उठते हैं। इससे आपको तेजी से निपटने में मदद मिलेगी।

कार्य सिद्धांत

इस्तियो में दो मुख्य क्षेत्र होते हैं - नियंत्रण विमान और डेटा विमान। नियंत्रण विमान में मुख्य घटक होते हैं जो बाकी के सही संचालन को सुनिश्चित करते हैं। वर्तमान संस्करण (1.0) में, नियंत्रण विमान के तीन मुख्य घटक हैं: पायलट, मिक्सर, गढ़। हम गढ़ पर विचार नहीं करेंगे, सेवाओं के बीच पारस्परिक टीएलएस सुनिश्चित करने के लिए प्रमाण पत्र उत्पन्न करना आवश्यक है। आइए पायलट और मिक्सर के डिवाइस और उद्देश्य पर करीब से नज़र डालें।



पायलट मुख्य नियंत्रण घटक है जो क्लस्टर - सेवाओं, उनके समापन बिंदु और रूटिंग नियमों (उदाहरण के लिए, कैनरी परिनियोजन या सर्किट ब्रेकर नियमों के लिए नियम) में हमारे पास मौजूद सभी सूचनाओं को प्रसारित करता है।

मिक्सर - नियंत्रण विमान का एक वैकल्पिक घटक, जो मैट्रिक्स, लॉग और नेटवर्क इंटरैक्शन के बारे में किसी भी जानकारी को इकट्ठा करने की क्षमता प्रदान करता है। वह नीति नियमों के अनुपालन और दर सीमाओं के अनुपालन की निगरानी भी करता है।

डेटा प्लेन सीडिकार प्रॉक्सी कंटेनर का उपयोग करके कार्यान्वित किया जाता है। डिफ़ॉल्ट रूप से, शक्तिशाली दूत प्रॉक्सी सर्वर का उपयोग किया जाता है । इसे एक और कार्यान्वयन द्वारा प्रतिस्थापित किया जा सकता है, उदाहरण के लिए नेग्नेक्स (नग्नेम)।

इस्तियो में अनुप्रयोगों के लिए पूरी तरह से पारदर्शी तरीके से काम करने के लिए, एक स्वचालित इंजेक्टिंग सिस्टम है। नवीनतम कार्यान्वयन कुबरनेट्स 1.9+ (म्यूटेशनल एडमिशन वेबहूक) के संस्करणों के लिए उपयुक्त है। कुबेरनेट्स के संस्करणों के लिए 1.7, 1.8, शुरुआती के लिए उपयोग करना संभव है।

सिडकर कंटेनर जीआरपीसी प्रोटोकॉल के माध्यम से पायलट से जुड़े हुए हैं, जो क्लस्टर में होने वाले परिवर्तनों को आगे बढ़ाने के मॉडल को अनुकूलित करने की अनुमति देता है। जीआरपीसी का उपयोग Envoy में संस्करण 1.6 के बाद से किया जाना शुरू हुआ, इस्तियो में इसका उपयोग संस्करण 0.8 के बाद से किया गया है और एक पायलट-एजेंट है - envoy पर गोलंग पर एक आवरण, जो लॉन्च मापदंडों को कॉन्फ़िगर करता है।

पायलट और मिक्सर पूरी तरह से स्टेटलेस घटक हैं, सभी राज्य को स्मृति में रखा जाता है। उनके लिए कॉन्फ़िगरेशन कुबेरनेट्स कस्टम रिसोर्स के रूप में निर्दिष्ट किया गया है, जो कि आदि में सहेजे गए हैं।
इस्तियो-एजेंट ने पायलट का पता प्राप्त किया और उसके लिए एक जीआरपीसी स्ट्रीम खोली।

जैसा कि मैंने कहा, इस्तियो सभी कार्यक्षमता को पूरी तरह से अनुप्रयोगों के लिए पारदर्शी बनाता है। आइए जानें कैसे। एल्गोरिथ्म इस प्रकार है:

1. सेवा का एक नया संस्करण नियुक्त करें।
2. साइडकार कंटेनर को इंजेक्ट करने के दृष्टिकोण के आधार पर, एक इस्तिओ-इनिट कंटेनर और एक इस्तिओ-एजेंट कंटेनर (दूत) विन्यास को लागू करने के चरण में जोड़ा जाता है, या उन्हें पहले से ही कुबेरनेट्स इकाई के पॉड विवरण में मैन्युअल रूप से डाला जा सकता है।
3. Istio-init कंटेनर एक स्क्रिप्ट है जो चूल्हा के लिए iptables नियम लागू करता है। आइसटियो-एजेंट कंटेनर में ट्रैफ़िक रैपिंग सेट करने के लिए दो विकल्प हैं: रीडायरेक्ट iptables नियम या TPROPY का उपयोग करें । लेखन के समय, रीडायरेक्ट नियमों के साथ डिफ़ॉल्ट दृष्टिकोण का उपयोग किया जाता है। Istio-init में यह कॉन्फ़िगर करना संभव है कि कौन से ट्रैफ़िक को इंटरसेप्ट किया जाना चाहिए और istio-agent को रूट किया जाए। उदाहरण के लिए, आने वाले और बाहर जाने वाले सभी ट्रैफ़िक को रोकने के लिए, आपको -i और -b पैरामीटर को * पर सेट करना होगा। आप विशिष्ट पोर्ट को इंटरसेप्ट करने के लिए निर्दिष्ट कर सकते हैं। किसी विशिष्ट सबनेट को इंटरसेप्ट नहीं करने के लिए, आप इसे -x फ्लैग का उपयोग करके निर्दिष्ट कर सकते हैं।
4. Init कंटेनरों के निष्पादन के बाद, पायलट-एजेंट (दूत) सहित मुख्य लॉन्च किए जाते हैं। यह जीआरपीसी के माध्यम से पहले से ही तैनात पायलट से जुड़ता है और क्लस्टर में सभी मौजूदा सेवाओं और रूटिंग नीतियों के बारे में जानकारी प्राप्त करता है। प्राप्त आंकड़ों के अनुसार, वह गुच्छों को कॉन्फ़िगर करता है और सीधे उन्हें कुबेरनेट क्लस्टर में हमारे अनुप्रयोगों के अंतिम बिंदु प्रदान करता है। यह एक महत्वपूर्ण बिंदु पर ध्यान देने योग्य भी है: दूत गतिशील रूप से श्रोताओं (आईपी, पोर्ट जोड़े) को सेट करता है कि वह सुनना शुरू कर देता है। इसलिए, जब अनुरोध पॉड में प्रवेश करते हैं, तो उन्हें साइडकार में पुनर्निर्देशित iptables नियमों का उपयोग करके पुनर्निर्देशित किया जाता है, दूत पहले से ही इन कनेक्शनों को सफलतापूर्वक संसाधित कर सकता है और समझ सकता है कि आगे कहाँ प्रॉक्सी ट्रैफ़िक है। इस स्तर पर भी, जानकारी मिक्सर को भेजी जाती है, जिसे हम बाद में चर्चा करेंगे, और ट्रेसिंग स्पैन भेजेंगे।

नतीजतन, हमें दूत प्रॉक्सी सर्वर का एक पूरा नेटवर्क मिलता है, जिसे हम एक बिंदु (पायलट) से कॉन्फ़िगर कर सकते हैं। सभी इनबाउंड और आउटबाउंड अनुरोध दूत के माध्यम से जाते हैं। इसके अलावा, केवल टीसीपी ट्रैफिक को इंटरसेप्ट किया गया है। इसका मतलब यह है कि कुबेरनेट्स सेवा आईपी बिना किसी बदलाव के यूडीपी पर क्यूब-डीएनएस का उपयोग करके हल करती है। फिर, हल करने के बाद, आउटगोइंग अनुरोध को एनवॉय द्वारा इंटरसेप्ट और संसाधित किया जाता है, जो पहले से ही तय करता है कि एक्सेस नीतियों या ट्रिगर सर्किट ब्रेकर एल्गोरिदम के मामले में अनुरोध को भेजने के लिए (या नहीं)।

पायलट के साथ हल किया गया, अब आपको यह समझने की आवश्यकता है कि मिक्सर कैसे काम करता है और इसकी आवश्यकता क्यों है। आप इस पर आधिकारिक दस्तावेज यहां पढ़ सकते हैं।

अपने वर्तमान रूप में मिक्सर में दो घटक होते हैं: istio-telemetry, istio-policy (संस्करण 0.8 से पहले यह istio-मिक्सर का एक घटक था)। ये दोनों मिक्सर हैं, जिनमें से प्रत्येक इसके कार्य के लिए जिम्मेदार है। इस्तियो टेलीमेट्री जीआरपीसी के माध्यम से साइडकार रिपोर्ट कंटेनरों के माध्यम से प्राप्त करता है कि कौन कहाँ और किन मापदंडों के साथ जाता है। इस्टियो-पॉलिसी स्वीकार करती है कि नीति नियम संतुष्ट हैं या नहीं, यह जांचने के लिए अनुरोध करें। निश्चित रूप से, प्रत्येक अनुरोध के लिए नहीं, बल्कि एक निश्चित समय के लिए क्लाइंट (साइडकार में) में कैश किया जाता है। रिपोर्ट की जांच बैच अनुरोधों द्वारा भेजी जाती है। हम थोड़ी देर बाद देखेंगे कि कैसे कॉन्फ़िगर करें और आपको कौन से पैरामीटर भेजने की आवश्यकता है।

मिक्सर एक उच्च उपलब्ध घटक माना जाता है जो टेलीमेट्री डेटा के संग्रह और प्रसंस्करण पर निर्बाध कार्य प्रदान करता है। सिस्टम एक बहु-स्तरीय बफर के रूप में निकलता है। प्रारंभ में, डेटा कंटेनर के साइडकार भाग पर बफ़र किया जाता है, फिर मिक्सर पक्ष पर और फिर तथाकथित मिक्सर बैकेंड में भेजा जाता है। नतीजतन, यदि सिस्टम घटकों में से कोई भी विफल हो जाता है, तो बफर बढ़ता है और सिस्टम पुनर्प्राप्ति के बाद क्रैश हो जाता है। मिक्सचर बैकएंड टेलीमेट्री डेटा भेजने के लिए एंडपॉइंट हैं: स्टैटसड, न्यूरिकेल आदि। आप अपना बैकएंड लिख सकते हैं, यह काफी सरल है, और हम देखेंगे कि यह कैसे करना है।



संक्षेप में, istio-telemetry के साथ काम करने की योजना इस प्रकार है।

1. सेवा 1 सेवा 2 के लिए अनुरोध भेजती है।
2. सेवा 1 को छोड़ते समय, अनुरोध को अपने स्वयं के साइडकार में लपेटा जाता है।
3. सीडेकर दूत इस बात की निगरानी करता है कि सेवा 2 के लिए अनुरोध कैसे पारित होता है और आवश्यक जानकारी तैयार करता है।
4. फिर रिपोर्ट अनुरोध का उपयोग करके इसे istio-telemetry को भेजता है।
5. Istio-telemetry यह निर्धारित करता है कि इस रिपोर्ट को बैकएंड में भेजा जाए, किस डेटा को और किस डेटा को भेजा जाए।
6. यदि आवश्यक हो तो Istio-telemetry बैकेंड को रिपोर्ट डेटा भेजता है।

अब देखते हैं कि केवल मुख्य घटकों (पायलट और साइडवेयर दूत) से मिलकर, इस्तियो प्रणाली में कैसे तैनात किया जाए।

सबसे पहले, मुख्य विन्यास (मेष) को देखते हैं जो पायलट पढ़ता है:

 apiVersion: v1 kind: ConfigMap metadata: name: istio namespace: istio-system labels: app: istio service: istio data: mesh: |- #      tracing  (pilot  envoy'  ,     ) enableTracing: false #     mixer endpoint',  sidecar      #mixerCheckServer: istio-policy.istio-system:15004 #mixerReportServer: istio-telemetry.istio-system:15004 #   ,    envoy  Pilot (    envoy proxy) rdsRefreshDelay: 5s # default   envoy sidecar defaultConfig: #   rdsRefreshDelay discoveryRefreshDelay: 5s #    (     envoy) configPath: "/etc/istio/proxy" binaryPath: "/usr/local/bin/envoy" #    sidecar  (, ,      tracing span') serviceCluster: istio-proxy # ,    envoy  ,        drainDuration: 45s parentShutdownDuration: 1m0s #    REDIRECT  iptables.    TPROXY. #interceptionMode: REDIRECT # ,     admin   sidecar  (envoy) proxyAdminPort: 15000 # ,     trace'  zipkin  (     ,       ) zipkinAddress: tracing-collector.tracing:9411 # statsd     envoy  () # statsdUdpAddress: aggregator:8126 #    Mutual TLS controlPlaneAuthPolicy: NONE # ,     istio-pilot  ,     service discovery  sidecar  discoveryAddress: istio-pilot.istio-system:15007 

सभी मुख्य नियंत्रण विमान घटक कुबेरनेट्स में नामपट्ट इस्तिओ-सिस्टम में स्थित हैं।

न्यूनतम हमें केवल पायलट को तैनात करने की आवश्यकता है। ऐसा करने के लिए, हम इस कॉन्फ़िगरेशन का उपयोग करेंगे ।

और मैन्युअल रूप से कंटेनर के इंजेक्शन साइडकार को कॉन्फ़िगर करें।

Init कंटेनर:

 initContainers: - name: istio-init args: - -p - "15001" - -u - "1337" - -m - REDIRECT - -i - '*' - -b - '*' - -d - "" image: istio/proxy_init:1.0.0 imagePullPolicy: IfNotPresent resources: limits: memory: 128Mi securityContext: capabilities: add: - NET_ADMIN 

और साइडकार:

  name: istio-proxy args: - "bash" - "-c" - | exec /usr/local/bin/pilot-agent proxy sidecar \ --configPath \ /etc/istio/proxy \ --binaryPath \ /usr/local/bin/envoy \ --serviceCluster \ service-name \ --drainDuration \ 45s \ --parentShutdownDuration \ 1m0s \ --discoveryAddress \ istio-pilot.istio-system:15007 \ --discoveryRefreshDelay \ 1s \ --connectTimeout \ 10s \ --proxyAdminPort \ "15000" \ --controlPlaneAuthPolicy \ NONE env: - name: POD_NAME valueFrom: fieldRef: fieldPath: metadata.name - name: POD_NAMESPACE valueFrom: fieldRef: fieldPath: metadata.namespace - name: INSTANCE_IP valueFrom: fieldRef: fieldPath: status.podIP - name: ISTIO_META_POD_NAME valueFrom: fieldRef: fieldPath: metadata.name - name: ISTIO_META_INTERCEPTION_MODE value: REDIRECT image: istio/proxyv2:1.0.0 imagePullPolicy: IfNotPresent resources: requests: cpu: 100m memory: 128Mi limits: memory: 2048Mi securityContext: privileged: false readOnlyRootFilesystem: true runAsUser: 1337 volumeMounts: - mountPath: /etc/istio/proxy name: istio-envoy 

सब कुछ सफलतापूर्वक शुरू करने के लिए, आपको ServiceAccount, ClusterRole, ClusterRoleBinding, CRD for Pilot प्राप्त करने की आवश्यकता है, जिसके विवरण यहां मिल सकते हैं ।

नतीजतन, जिस सेवा में हम दूत को इंजेक्शन लगाते हैं, उसे सफलतापूर्वक शुरू करना चाहिए, पायलट से सभी खोज प्राप्त करें और अनुरोधों को संसाधित करें।

यह समझना महत्वपूर्ण है कि नियंत्रण विमान के सभी घटक स्टेटलेस एप्लिकेशन हैं और बिना किसी समस्या के क्षैतिज रूप से स्केल किए जा सकते हैं। सभी डेटा Kubernetes संसाधनों के कस्टम विवरण के रूप में etcd में है।

इस्तियो भी (अब तक प्रयोगात्मक रूप से) क्लस्टर के बाहर चलाने की क्षमता और कई कुबेरनेट समूहों के बीच सेवा की खोज के लिए देखने और फूटने की क्षमता है। आप इसके बारे में और अधिक यहाँ पढ़ सकते हैं।

बहु-क्लस्टर स्थापना के लिए, निम्नलिखित प्रतिबंधों पर विचार किया जाना चाहिए:

1. पॉड CIDR और सेवा CIDR सभी समूहों में अद्वितीय होनी चाहिए और ओवरलैप नहीं होनी चाहिए।
2. सभी पॉड CIDR क्लस्टर के बीच किसी भी पॉड CIDR से उपलब्ध होने चाहिए।
3. सभी Kubernetes API सर्वर एक दूसरे के लिए सुलभ होना चाहिए।

यह प्रारंभिक सूचना है जो आपको इस्तियो से शुरू करने में मदद करती है। हालांकि, अभी भी कई नुकसान हैं। उदाहरण के लिए, बाहरी ट्रैफ़िक (क्लस्टर के बाहर) को रूट करने की सुविधाएँ, डिबगिंग साइडकार के लिए, प्रोफाइलिंग, मिक्सर सेट करना और कस्टम मिक्सर बैकएंड लिखना, ट्रेसिंग तंत्र और एनवॉय का उपयोग करके इसके संचालन की स्थापना करना।
हम निम्नलिखित प्रकाशनों में इस सब पर विचार करेंगे। अपने प्रश्न पूछें, मैं उन्हें कवर करने की कोशिश करूंगा।