Alibaba Cloud Service Mesh：驗證網格內部是否已啟用mTLS通訊

通過kubectl串連到ASM執行個體，使用以下內容建立ASMPacketInspector.yaml。

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMPacketInspector
metadata:
  name: test
spec:
  pod:
    clusterId: ${ACK Cluster ID}
    namespace: default
    name: ${sleep pod name}
  tcpDumpParams: '-i any port 80'
  duration: 60s
  fileName: sleep.pcap

執行以下命令部署ASMPacketInspector資源。

kubectl apply -f ASMPacketInspector.yaml

ASMPacketInspector資源部署後，ASM會自動在sleep pod中抓取80連接埠的資料包（httpbin pod暴露的服務連接埠），抓包時間長度為60s。在此期間，通過kubectl串連到ASM執行個體添加的Kubernetes叢集，執行以下命令。

kubectl exec -it <sleep pod name> -c sleep --  sh -c 'for i in $(seq 1 30); do curl httpbin:8000 -I ; echo "request $i done"; done'

此命令會自動從sleep pod向httpbin服務發送30次請求。

通過kubectl串連到ASM執行個體，執行以下命令查看抓包結果。

kubectl get ASMPacketInspector test -o yaml

預期結果：

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMPacketInspector
metadata:
  ******
spec:
  ******
status:
  completedAt: null
  conditions:
  - time: "2024-06-12T08:15:33Z"
    type: Inspecting
  - message: 'inspecting job status: Running'
    time: "2024-06-12T08:15:43Z"
    type: Inspecting
  - message: 'inspecting job status: Running'
    time: "2024-06-12T08:15:53Z"
    type: Inspecting
  - message: 'inspecting job status: Running'
    time: "2024-06-12T08:16:03Z"
    type: Inspecting
  - message: 'inspecting job status: Running'
    time: "2024-06-12T08:16:13Z"
    type: Inspecting
  - message: 'inspecting job status: Running'
    time: "2024-06-12T08:16:23Z"
    type: Inspecting
  filePath: /tmp/sleep.pcap
  phase: Inspecting
  runningOnNode: *******
  startAt: "2024-06-12T08:15:43Z"
  taskId: inspector-zumnmwdc

從status部分的runningOnNode可以看到抓包啟動並執行node，filePath代表輸出檔案的路徑。登入到指定節點將檔案下載到本地。

通過kubectl串連到ASM執行個體添加的Kubernetes叢集，執行以下命令查看sleep應用運行在哪個Node上。

kubectl  get pod -o wide 

預期輸出：

NAME                       READY   STATUS    RESTARTS   AGE     IP           NODE                       NOMINATED NODE   READINESS GATES
httpbin-6c8f47d9b9-stq72   2/2     Running   0          33m     172.16.*.*   cn-***.172.16.*.*   <none>           <none>
sleep-84f9785988-ft9rm     2/2     Running   0          3h56m   172.16.*.*   cn-***.172.16.*.*   <none>           <none>

登入到目標節點。操作步驟詳情，請參見通過密碼或密鑰認證登入Linux執行個體。

1. 執行以下命令查看sleep應用對應的容器CONTAINER ID。

   sudo crictl ps |grep <Pod名稱關鍵字>

   預期輸出：

   CONTAINER           IMAGE               CREATED             STATE                      
   a1a214d2*****       35d28df4*****       2 days ago          Running

2. 使用CONTAINER ID參數，執行以下命令查看容器PID。

   sudo crictl inspect  a1a214d2***** |grep -i PID

   預期輸出：

       "pid": 2309838,    # 目標容器的PID進程號。
               "pid": 1
               "type": "pid"

3. 執行以下抓包命令。

   sudo nsenter -t <容器PID> tcpdump -i any port 80 -w /tmp/test.pcap

   將命令執行後產生的test.pcap檔案下載到本地。