Modo ACMG - - Centro de documentación de Alibaba Cloud

El modo Alibaba Centralized Mesh Gateway (ACMG) es una solución diseñada para arquitecturas de red a gran escala que mejora la escalabilidad, la flexibilidad y la eficiencia de gestión de la red. Este tema describe la arquitectura y las funciones del modo ACMG.

Descripción de funciones

Las instancias de Service Mesh (ASM) V1.22 y posteriores son compatibles con el modo ACMG. Al igual que el modo Ambient Mesh, el modo ACMG admite planos de datos con o sin sidecars. Sus funciones abarcan los siguientes aspectos:

Gestión de tráfico: enrutamiento básico de tráfico, balanceo de carga, circuit breaking, limitación de velocidad, tolerancia a fallos, reintentos, tiempos de espera y otras funciones relacionadas con la gestión de tráfico.
Seguridad: directivas de autorización en la capa 4 y la capa 7.
Observability: monitoreo de métricas, registros de acceso y análisis de rastreo.

A diferencia del modo Ambient Mesh, el modo ACMG utiliza proxies centralizados para implementar la gestión centralizada del tráfico este-oeste. Esto simplifica aún más las operaciones y el mantenimiento, y reduce el uso de recursos de la infraestructura de malla.

Diseño de arquitectura

En el modo ACMG, los proxies de capa 4 están separados de los proxies de capa 7. Las funciones principales de ASM en el modo ACMG son las mismas que en el modo Ambient Mesh. El plano de control configura los proxies de capa 4 y capa 7, entrega las configuraciones y proporciona servicios de CA. Tenga en cuenta que el modo ACMG permite compartir proxies de capa 7 entre varios namespaces del mismo clúster, lo que reduce los costos de infraestructura de ASM. Además, ASM gestiona el componente de capa 7 y este se ejecuta de forma independiente de las aplicaciones. Esto evita la intrusión en las cargas de trabajo de servicio y facilita las operaciones y el mantenimiento. La siguiente tabla describe los dos componentes.

Componente	Función
zTunnel	Componente del plano de datos que actúa como proxy de identidad de capa 4 para las cargas de trabajo de servicio en un nodo del plano de datos.
Central Proxy	Componente del plano de datos que actúa como proxy centralizado de capa 7. Todo el clúster comparte un único Central Proxy. ASM se encarga del despliegue y el Auto Scaling del Central Proxy.

imagen

Beneficios del modo ACMG

imagen

La figura anterior compara las arquitecturas de los tres modos. La siguiente tabla resume las ventajas y desventajas de estos modos.

Modo	Ventaja	Desventaja
Modo Sidecar	Los contenedores sidecar permiten configurar cada instancia de servicio de forma independiente. Se mejora la seguridad de red, la confiabilidad y la observability entre las llamadas de servicio. Se admite la gestión flexible de tráfico, el balanceo de carga y funciones avanzadas como circuit breakers y enrutamiento de solicitudes.	Se inyecta un contenedor sidecar en cada pod. Por lo tanto, aumenta la complejidad del despliegue de aplicaciones, así como el consumo de recursos y la complejidad de las operaciones, el mantenimiento y la gestión.
Modo Ambient Mesh	Los proxies de capa 4 y capa 7 pueden ejecutarse de forma independiente sin necesidad de contenedores sidecar adicionales. Esto elimina la necesidad de modificar o redesplegar aplicaciones existentes y facilita el despliegue y la gestión. Es posible adoptar tecnologías de malla de forma incremental. Por ejemplo, puede utilizar la red de comunicación cifrada de capa 4 en la etapa inicial y agregar funciones gradualmente para adaptarse a diferentes políticas de migración.	En algunos escenarios, el modo Ambient Mesh no admite configuraciones específicas del cliente ni reglas de destino. Las configuraciones del proxy waypoint deben especificarse explícitamente por servicio o namespace, lo que también genera ciertos costos de operación y mantenimiento.

Al igual que el modo Ambient Mesh, el modo ACMG admite las siguientes capacidades:

Desacoplamiento de servicios y redes: permite actualizaciones y operaciones y mantenimiento de red independientes.
Transmisión de red segura: se utilizan ztunnels a nivel de nodo para cumplir con los requisitos de arquitectura de redes de confianza cero.

A diferencia del modo Ambient Mesh, el modo ACMG ofrece las siguientes ventajas:

Ahorro de recursos del usuario: se admite el uso compartido de proxies de capa 7 entre varios namespaces para reducir el consumo de recursos.
Reducción de la carga de operaciones y mantenimiento: no es necesario gestionar la creación de servicios de proxy ni el escalado de proxies de capa 7. Se admite el Auto Scaling.

Soporte para Auto Scaling del Central Proxy: varios namespaces comparten un Central Proxy para procesar el tráfico dentro del mismo clúster. El Auto Scaling garantiza el funcionamiento correcto de los proxies de capa 7.

En comparación con el modo sidecar y el modo Ambient Mesh, un Central Proxy de capa 7 en modo ACMG tiene un área de cobertura mayor y todos los servicios del clúster pueden compartirlo.

Enrutamiento en modo ACMG

En el modo ACMG, las cargas de trabajo se clasifican en los siguientes dos tipos:

Uncaptured: un pod estándar en el que no está habilitada ninguna función de malla.
Captured: un pod cuyo tráfico es interceptado por un ztunnel. El tráfico de los pods se captura al agregar la etiqueta istio.io/dataplane-mode=acmg a los namespaces. Además, el Central Proxy procesa el tráfico capturado.

Enrutamiento de Ztunnel

El enrutamiento de Ztunnel en el modo ACMG es idéntico al del modo Ambient Mesh. Para obtener más información, consulte Ztunnel routing

Enrutamiento del Central Proxy

Si no se habilita el modo ACMG mediante una etiqueta en el namespace donde se encuentra el servidor, el Central Proxy no enruta el tráfico, independientemente de si el modo ACMG está habilitado para el cliente.

Si se habilita el modo ACMG mediante una etiqueta en el namespace donde se encuentra el servidor, el ztunnel correspondiente intercepta el tráfico del cliente solo cuando el modo ACMG también está habilitado en el namespace del cliente. Posteriormente, el tráfico se enruta al Central Proxy, que lo envía a un pod específico del servidor según las decisiones de enrutamiento.

En resumen, el tráfico pasa por el Central Proxy y las directivas de gestión de tráfico de capa 7 creadas surten efecto únicamente cuando el modo ACMG está habilitado tanto para el cliente como para el servidor.