Cloud-native Gateway es una puerta de enlace API totalmente gestionada que ofrece Microservices Engine (MSE). Unifica las puertas de enlace de tráfico (Kubernetes Ingress, NGINX) y las puertas de enlace de microservices (Spring Cloud Gateway, Zuul) en una sola puerta de enlace, lo que reduce los costos de recursos en un 50% y simplifica las operaciones.
Basado en el proxy Envoy y compatible con los estándares de Kubernetes Ingress, Cloud-native Gateway gestiona el enrutamiento de tráfico, la autenticación, la observability y la alta disponibilidad para arquitecturas de microservices, sin necesidad de administrar capas de puerta de enlace por separado.
Funcionamiento
Cloud-native Gateway se sitúa entre los clientes externos y sus servicios de backend como el único punto de entrada para todo el tráfico entrante. Elimina la necesidad de ejecutar y mantener puertas de enlace de tráfico y de microservices de forma paralela.
El tráfico fluye a través de Cloud-native Gateway de la siguiente manera:
Una solicitud del cliente llega a la puerta de enlace.
La puerta de enlace evalúa las reglas de enrutamiento, aplica directivas de autenticación y hace cumplir los controles de tráfico, como la limitación de velocidad y la interrupción de circuito.
La puerta de enlace enruta la solicitud al servicio de backend correspondiente, descubierto automáticamente mediante un registro de servicios conectado.
Las métricas de respuesta, los registros y los rastros se envían a los sistemas de observability integrados.
Cloud-native Gateway descubre los servicios de backend desde múltiples fuentes:
Clústeres de Container Service for Kubernetes (ACK)
Instancias de Nacos
Instancias de ZooKeeper
Otros clústeres de Kubernetes
Casos de uso
Consolidar capas de puerta de enlace: Reemplace las puertas de enlace de Kubernetes Ingress y de microservices independientes por una única puerta de enlace gestionada para reducir los costos de infraestructura y la sobrecarga operativa.
Centralizar el control de acceso a la API: Gestione la autenticación, la autorización y la limitación de velocidad para todas las API expuestas externamente desde un solo lugar, en vez de implementar controles en cada servicio.
Implementar cambios de forma segura: Utilice despliegues canary y etiquetado de tráfico para dirigir un porcentaje del tráfico a nuevas versiones, validar su comportamiento y transferir gradualmente todo el tráfico una vez que sean estables.
Proteger los servicios ante picos de tráfico: Aplique directivas de limitación de velocidad, interrupción de circuito y degradación a nivel de puerta de enlace para mantener estables los servicios de backend durante cargas inesperadas.
Asegurar los endpoints de servicio: Finalice TLS, haga cumplir listas de permitidos y bloqueados de direcciones IP, habilite la protección Anti-DDoS e integre Web Application Firewall (WAF) para bloquear el tráfico malicioso antes de que llegue a sus aplicaciones.
Desplegar en varias regiones: Programe el tráfico entre regiones para el despliegue y la gestión global de servicios.
Funciones
Gobernanza del tráfico
Enrute y controle el tráfico en sus microservices con:
Descubrimiento de servicios desde múltiples registros (ACK, Nacos, ZooKeeper)
Enrutamiento de servicios con distribución de tráfico flexible basada en reglas
Etiquetado de tráfico para clasificar y dirigir solicitudes según encabezados, parámetros u otros atributos
Limitación de velocidad e interrupción de circuito para proteger los servicios contra sobrecargas
Degradación para manejar fallos correctamente sin provocar interrupciones en cascada
Configuración de tiempos de espera para un control detallado sobre los plazos de las solicitudes
Compatibilidad con el protocolo Dubbo 3.0 con apagado correcto
Seguridad
Autentique y proteja el tráfico en la capa de puerta de enlace:
Autenticación JSON Web Token (JWT)
Autenticación OpenID Connect (OIDC) basada en OAuth 2.0 para flujos de inicio de sesión único
Autenticación Alibaba Cloud IDaaS para la gestión de identidades empresariales
Certificados HTTPS con gestión de certificados integrada
Listas de permitidos y bloqueados de direcciones IP para restringir el acceso por IP de origen
Protección Anti-DDoS y limpieza de tráfico
Integración con WAF para la protección contra amenazas en la capa de aplicación
Observability
Monitoree el estado de la puerta de enlace y de los servicios con paneles y diagnósticos integrados:
Paneles globales para visibilidad en tiempo real del tráfico y la tasa de errores
Monitoreo de la puerta de enlace con métricas de rendimiento y riesgo
Recuperación y envío de registros a sistemas de registros externos
Listas Top N de servicios para identificar servicios con alto tráfico o propensos a errores
Análisis de rastreo para el seguimiento de solicitudes de extremo a extremo entre servicios
Gestión de alertas para notificar anomalías a los equipos de guardia
Alta disponibilidad
Cloud-native Gateway ha sido probado a la escala de Alibaba Group y manejó cientos de miles de solicitudes por segundo durante el Double 11 de 2020. Es la base de servicios en producción como Alipay, DingTalk, Taobao, Tmall, Youku, Fliggy y Koubei.
Las funciones de confiabilidad integradas incluyen:
Protección contra sobrecargas para rechazar el exceso de tráfico antes de que degrade la calidad del servicio
Inicio y apagado correctos para evitar la pérdida de solicitudes en curso durante los despliegues
Recuperación ante desastres multizona para garantizar la resiliencia ante fallos a nivel de zona
Auto Scaling para ajustar la capacidad de la puerta de enlace al tráfico en tiempo real
Autorrecuperación para recuperarse automáticamente de fallos en componentes
El Acuerdo de Nivel de Servicio (SLA) garantizado es de hasta un 99.95%.
Límites
Aceleración de hardware TLS
Debido a restricciones de hardware subyacente, la aceleración de hardware de Transport Layer Security (TLS) solo está disponible en las siguientes regiones:
China (Hangzhou)
China (Shanghai)
China (Beijing)
China (Shenzhen)
Hong Kong (China)
Singapore
Germany (Frankfurt)
Integración con WAF 3.0
Cloud-native Gateway admite WAF 2.0 mediante la conexión tradicional basada en CNAME. Para la integración nativa con WAF, se requiere WAF 3.0, que solo está disponible en las siguientes regiones:
China (Hangzhou)
China (Shanghai)
China (Beijing)
China (Zhangjiakou)
China (Ulanqab)
China (Shenzhen)
Hong Kong (China)
Japan (Tokyo)
Singapore
Malaysia (Kuala Lumpur)
Germany (Frankfurt)
US (Silicon Valley)
Marketplace de plugins
El Marketplace de plugins está disponible en todas las regiones donde MSE está activado. Para más detalles, consulte Supported regions.
El tamaño máximo para cargar un plugin personalizado es de 50 MB.
Primeros pasos
Para configurar su primera instancia de Cloud-native Gateway y enrutar tráfico a servicios en un clúster de ACK, consulte Access applications in an ACK cluster by using a cloud-native gateway.