Alibaba Cloud Service Mesh:Configurar limitação de taxa local

Pré-requisitos

• Uma instância ASM criada que atenda aos seguintes requisitos:

  • Para ASM Enterprise Edition (Professional ou Ultimate), a versão da instância deve ser 1.14.3 ou posterior. Para obter mais informações sobre como atualizar uma instância ASM, consulte Upgrade an ASM instance.

  • Para ASM Standard Edition, a versão da instância deve ser 1,9 ou posterior. Use apenas o método nativo do Istio para configurar a limitação de taxa local. A documentação varia conforme a versão do Istio. Para obter as informações mais recentes, consulte a documentação do Istio Enabling Rate Limits using Envoy.

• A injeção automática de proxy sidecar está ativada para o namespace default no cluster Kubernetes. Para obter mais informações, consulte Enable automatic sidecar proxy injection.

• Os serviços de exemplo httpbin e sleep estão implantados, e o serviço sleep consegue acessar o serviço httpbin. Para obter mais informações, consulte Deploy the httpbin application.

Cenário 1: Aplicar limitação de taxa a uma porta de serviço

Este cenário demonstra como aplicar a limitação de taxa local à porta 8000 do serviço httpbin. Após a configuração, a regra se aplica a todas as requisições enviadas para essa porta específica.

1. Crie uma regra de limitação de taxa local.

   1. Faça login no console ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique no nome da instância ASM. No painel de navegação à esquerda, escolha Traffic Management Center > Traffic Protection and Scheduling. Na página exibida, clique em Create.

   3. Na página Create, configure os parâmetros e clique em OK.

      Seção	Parâmetro	Descrição
      Basic Information About Throttling	Namespace	Namespace da carga de trabalho afetada pela limitação de taxa local. Neste exemplo, selecione default.
      	Name	Nome personalizado para a configuração de limitação de taxa local. Neste exemplo, insira httpbin.
      	Type of Effective Workload	Tipo de carga de trabalho ao qual a regra de limitação se aplica. Valores válidos: Application Service e Gateway. Neste exemplo, selecione Applicable Application.
      	Relevant Workload	Insira pares chave-valor de rótulo para selecionar uma carga de trabalho específica. Neste exemplo, defina Label Name como app e Label Value como httpbin.
      List of Throttling Rules	Service Port	Número da porta declarado no Kubernetes Service do serviço. Deve ser uma porta HTTP. Neste exemplo, insira a porta HTTP 8000 do serviço httpbin.
      	Throttling Configuration	Especifique a janela de tempo e o número máximo de requisições permitidas nessa janela para o algoritmo de token bucket. Se o volume de requisições na janela de tempo exceder esse limite, as requisições subsequentes serão limitadas. Este exemplo usa a seguinte configuração: Defina Time Window for Throttling Detection como 60s. Defina Allowed requests in window como 10. Essa configuração limita a carga de trabalho do serviço a, no máximo, 10 requisições em qualquer janela de 60 segundos.

      O arquivo YAML a seguir exemplifica a configuração de limitação de taxa local.

      YAML de configuração de limitação de taxa local

      apiVersion: istio.alibabacloud.com/v1beta1
      kind: ASMLocalRateLimiter
      metadata:
        name: httpbin
        namespace: default
      spec:
        configs:
          - limit:
              fill_interval:
                seconds: 60
              quota: 10
            match:
              vhost:
                name: '*'
                port: 8000
                route:
                  header_match:
                    - invert_match: false
                      name: ':path'
                      prefix_match: /
        isGateway: false
        workloadSelector:
          labels:
            app: httpbin

2. Verifique a regra de limitação de taxa local.

   1. Execute o comando a seguir para iniciar uma sessão bash no contêiner sleep:

      kubectl exec -it deploy/sleep -- sh

   2. Execute o comando a seguir para enviar 10 requisições:

      for i in $(seq 1 10); do curl -v http://httpbin:8000/headers; done

   3. Execute o comando a seguir para enviar uma 11ª requisição:

      curl -v http://httpbin:8000/headers

      Saída esperada:

      *   Trying 172.16.245.130:8000...
      * Connected to httpbin (172.16.245.130) port 8000
      > GET /headers HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.5.0
      > Accept: */*
      >
      < HTTP/1.1 429 Too Many Requests
      < x-local-rate-limit: true
      < content-length: 18
      < content-type: text/plain
      < date: Tue, 26 Dec 2023 08:02:58 GMT
      < server: envoy
      < x-envoy-upstream-service-time: 2

      A saída exibe o código de status HTTP 429, indicando que a requisição foi limitada.

Cenário 2: Aplicar limitação de taxa a um caminho de requisição

Este cenário demonstra como aplicar a limitação de taxa local a requisições enviadas para o caminho /headers na porta 8000 do serviço httpbin. Após a configuração, a regra se aplica apenas a requisições correspondentes a esse caminho e porta específicos.

1. Crie uma regra de limitação de taxa local.

   1. Faça login no console ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique no nome da instância ASM. No painel de navegação à esquerda, escolha Traffic Management Center > Traffic Protection and Scheduling. Na página exibida, clique em Create.

   3. Na página Create, configure os parâmetros e clique em OK.

      Seção	Parâmetro	Descrição
      Basic Information About Throttling	Namespace	Namespace da carga de trabalho afetada pela limitação de taxa local. Neste exemplo, selecione default.
      	Name	Nome personalizado para a configuração de limitação de taxa local. Neste exemplo, insira httpbin.
      	Type of Effective Workload	Tipo de carga de trabalho ao qual a regra de limitação se aplica. Valores válidos: Application Service e Gateway. Neste exemplo, selecione Applicable Application.
      	Relevant Workload	Insira pares chave-valor de rótulo para selecionar uma carga de trabalho específica. Neste exemplo, defina Label Name como app e Label Value como httpbin.
      List of Throttling Rules	Service Port	Número da porta declarado no Kubernetes Service do serviço. Deve ser uma porta HTTP. Neste exemplo, insira a porta HTTP 8000 do serviço httpbin.
      	Match Request Attributes	Defina as condições de correspondência para requisições. A regra aplica-se apenas a requisições que atendam a essas condições. Este exemplo usa a seguinte configuração: Defina Matched Attributes como Request Path. Defina Matching Method como Prefix Match. Defina Matched Content como /headers.
      	Throttling Configuration	Especifique a janela de tempo e o número máximo de requisições permitidas nessa janela para o algoritmo de token bucket. Se o volume de requisições na janela de tempo exceder esse limite, as requisições subsequentes serão limitadas. Este exemplo usa a seguinte configuração: Defina Time Window for Throttling Detection como 60s. Defina Allowed requests in window como 10. Essa configuração limita a carga de trabalho do serviço a, no máximo, 10 requisições em qualquer janela de 60 segundos.

2. Verifique a regra de limitação de taxa local.

   1. Execute o comando a seguir para iniciar uma sessão bash no contêiner sleep:

      kubectl exec -it deploy/sleep -- sh

   2. Execute o comando a seguir para enviar 10 requisições:

      for i in $(seq 1 10); do curl -v http://httpbin:8000/headers; done

   3. Execute o comando a seguir para enviar uma 11ª requisição:

      curl -v http://httpbin:8000/headers

      Saída esperada:

      *   Trying 172.16.245.130:8000...
      * Connected to httpbin (172.16.245.130) port 8000
      > GET /headers HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.5.0
      > Accept: */*
      >
      < HTTP/1.1 429 Too Many Requests
      < x-local-rate-limit: true
      < content-length: 18
      < content-type: text/plain
      < date: Tue, 26 Dec 2023 08:02:58 GMT
      < server: envoy
      < x-envoy-upstream-service-time: 2

      A saída exibe o código de status HTTP 429, indicando que a requisição foi limitada.

   4. Execute o comando a seguir para enviar uma requisição ao caminho /get do serviço httpbin:

      curl -v http://httpbin:8000/get

      Saída esperada:

      *   Trying 192.168.243.21:8000...
      * Connected to httpbin (192.168.243.21) port 8000 (#0)
      > GET /get HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.1.2
      > Accept: */*
      >
      < HTTP/1.1 200 OK
      < server: envoy
      < date: Thu, 11 Jan 2024 03:46:11 GMT
      < content-type: application/json
      < content-length: 431
      < access-control-allow-origin: *
      < access-control-allow-credentials: true
      < x-envoy-upstream-service-time: 1
      <
      {
        "args": {},
        "headers": {
          "Accept": "*/*",
          "Host": "httpbin:8000",
          "User-Agent": "curl/8.1.2",
          "X-Envoy-Attempt-Count": "1",
          "X-Forwarded-Client-Cert": "By=spiffe://cluster.local/ns/default/sa/httpbin;Hash=be10819991ba1a354a89e68b3bed1553c12a4fba8b65fbe0f16299d552680b29;Subject=\"\";URI=spiffe://cluster.local/ns/default/sa/sleep"
        },
        "origin": "127.0.0.6",
        "url": "http://httpbin:8000/get"
      }

      A saída exibe o código de status 200 OK. Isso confirma que requisições para outros caminhos do serviço httpbin não são afetadas pela regra de limitação de taxa.

Operações relacionadas

Perguntas frequentes

Por que minha regra de limitação de taxa não está funcionando?

Protocolo de serviço incorreto

A limitação de taxa local suporta apenas o protocolo HTTP. Antes de configurar uma regra de limitação, certifique-se de que seu serviço se comunica via HTTP ou um protocolo de camada de aplicação baseado em HTTP, como gRPC ou Dubbo3.

Além disso, defina corretamente o protocolo do serviço para que a malha de serviço possa identificá-lo com precisão. Para obter mais informações, consulte How to correctly define the protocol type for a service.

Impacto do CRD Sidecar no tráfego de entrada

Por padrão, a malha de serviço configura automaticamente um listener de tráfego de entrada para o proxy sidecar com base nas declarações de porta na definição do Service. Tanto a limitação de taxa local quanto a global dependem desse comportamento padrão.

Você pode usar uma definição de recurso personalizado (CRD) Sidecar para modificar a configuração padrão de tráfego de entrada do serviço, por exemplo, para permitir que outros pods acessem uma aplicação que escuta em localhost. Para obter mais informações, consulte How to expose a localhost application to other pods.

Nesse caso, como o listener padrão é modificado, especificar a porta do Kubernetes Service na regra de limitação de taxa local não funcionará. Em vez disso, defina a Service Port na regra de limitação de taxa local como a porta de entrada real especificada no CRD Sidecar.

Por exemplo, se você configurar o seguinte CRD Sidecar para o serviço httpbin enquanto tenta aplicar limitação de taxa local à porta 8000:

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: localhost-access
  namespace: default
spec:
  ingress:
    - defaultEndpoint: '127.0.0.1:80'
      port:
        name: http
        number: 80
        protocol: HTTP
  workloadSelector:
    labels:
      app: httpbin

Ao criar a regra de limitação de taxa local, defina a Service Port como 80, e não 8000.

Documentos relacionados

• Se sua instância ASM for da versão 1.19.0 ou posterior, use o campo limit_overrides no YAML ASMLocalRateLimiter para corresponder requisições com base em outros atributos, como parâmetros de consulta. Para obter mais informações, consulte ASMLocalRateLimiter CRD reference.

• Use o CRD ASMGlobalRateLimiter para configurar limitação de taxa global para gateways de entrada e tráfego de serviço de aplicação. Para obter mais informações, consulte Configure global rate limiting for application services by using ASMGlobalRateLimiter.

• Configure limitação de taxa local ou global para um gateway de entrada no console ASM. Para obter mais informações, consulte Configure local throttling for an ingress gateway e Configure global rate limiting for an ingress gateway.

• Use o recurso de aquecimento (warm-up) para aumentar gradualmente o volume de requisições durante um período especificado, ajudando a evitar problemas como tempos limite de requisição e perda de dados. Para obter mais informações, consulte Use the ASM warm-up feature.

• Configure um pool de conexões para implementar disjuntor (circuit breaking), protegendo seu sistema contra danos adicionais durante falhas ou sobrecargas. Para obter mais informações, consulte Configure a connection pool to implement circuit breaking.