Alibaba Cloud Service Mesh:Create an egress gateway

Kullanım senaryoları

• Merkezi güvenlik denetimi: Tüm giden trafiği özel ağ geçidi düğümleri üzerinden yönlendirerek yetkilendirme ilkelerini uygulayın ve harici erişimi tek bir noktadan denetleyin.

• Ağ yalıtımı: Mesh içindeki hizmetlerin harici ağlara kontrollü bir şekilde ulaşabilmesi için egress ağ geçidini merkezi çıkış noktası olarak kullanın.

• Trafik gözlemlenebilirliği: Giden trafiği tek bir çıkış noktasından geçirerek tüm harici çağrılar için ölçüm, günlük ve izleme verilerini toplayın.

Sınırlamalar

• Egress ağ geçitleri için Yatay Pod Otomatik Ölçeklendirme (HPA), ASM Enterprise Edition veya Ultimate Edition gerektirir.

• Karşılıklı TLS (mTLS) etkinleştirildiğinde, sidecar proxy'si olmayan pod'lar trafiği egress ağ geçidi üzerinden yönlendiremez.

Ön koşullar

Başlamadan önce aşağıdaki ön koşulları karşıladığınızdan emin olun:

• ASM örneğinize eklenmiş bir Container Service for Kubernetes (ACK) kümesi. Daha fazla bilgi için bkz. Küme ASM örneğine eklendi.

ASM konsolunda egress ağ geçidi oluşturma

1. ASM konsoluna giriş yapın. Sol gezinme bölmesinde Service Mesh > Mesh Management seçeneklerini seçin.

2. Mesh Management sayfasında ASM örneğinin adını tıklayın. Sol gezinme bölmesinde ASM Gateways > Egress Gateway seçeneklerini seçin.

3. Egress Gateway sayfasında Create seçeneğini tıklayın.

4. Aşağıdaki tabloda açıklanan temel parametreleri yapılandırın.

   Not

   Bunun yerine egress ağ geçidini YAML ile tanımlamak isterseniz Egress Gateway sayfasındaki Create from YAML seçeneğini tıklayın. Alan açıklamaları için bkz. ASM ağ geçidi için CRD alanları.

   Parameter	Description
   Name	Egress ağ geçidinin adı.
   Cluster	Egress ağ geçidinin dağıtılacağı küme.
   Port Mapping	Açığa çıkarılacak bağlantı noktaları. Her giriş için Protocol ve Service Port değerlerini ayarlayın. Varsayılan olarak iki yaygın kullanılan bağlantı noktası görüntülenir. İhtiyacınıza göre bu bağlantı noktalarını koruyabilir, kaldırabilir veya yeni ekleyebilirsiniz.
   Resources Limits	Egress ağ geçidi pod'u için CPU ve bellek sınırları.
   Gateway instances	Egress ağ geçidi için pod çoğaltma sayısı.

5. (İsteğe bağlı) Advanced Options seçeneğini tıklayın ve aşağıdaki tabloda açıklanan parametreleri yapılandırın.

   Önemli

   Karşılıklı TLS etkinleştirildiğinde, sidecar proxy'si olmayan pod'lar egress ağ geçidi üzerinden harici hizmetlere erişemez.

   Parameter	Description
   HPA	Kaynak kullanımına göre pod çoğaltmalarını otomatik olarak ölçeklendirmek için Yatay Pod Otomatik Ölçeklendirme (HPA) özelliğini etkinleştirin. Aşağıdaki alt parametreleri yapılandırın: Monitoring items ve Threshold -- ölçüm eşik değerini aştığında çoğaltmalar yukarı ölçeklenir, düştüğünde ise aşağı ölçeklenir. Hem CPU kullanımı hem de bellek kullanımı için eşik değerleri belirlerseniz, herhangi bir ölçümün kendi eşiğini aşması ölçeklendirmeyi tetikler. Maximum replicas -- pod çoğaltmaları için üst sınır. Minimum number of replicas -- pod çoğaltmaları için alt sınır. ASM Enterprise Edition veya Ultimate Edition gerektirir.
   Rolling Upgrade	Egress ağ geçidi için ardışık güncellemeleri etkinleştirin. Aşağıdaki alt parametreleri yapılandırın: Maximum number of unavailable instances -- güncelleme sırasında kullanılamaz duruma gelebilecek maksimum pod sayısı; bu, hizmet sürekliliğini korur. Exceeding the desired number of instances -- güncelleme sırasında izin verilen ekstra pod sayısı. Örneğin, %25 değeri pod sayısının istenen çoğaltma sayısının %125'ini aşamayacağı anlamına gelir.
   Deploy ASM Gateway replicas as widely as possible	Ağ geçidi pod'larının tercihen farklı düğümlere zamanlanmasını sağlayarak kullanılabilirliği artırmak için podAntiAffinity ayarlayın.
   Custom Deployment Policy	Egress ağ geçidi için nodeSelector, tolerations ve affinity alanlarını yapılandırın. Alan açıklamaları için bkz. ASM ağ geçidi için CRD alanları.
   Support two-way TLS authentication	Sidecar proxy'leri ile egress ağ geçidi arasında karşılıklı TLS (mTLS) özelliğini etkinleştirin. mTLS, doğrulanmış hizmet kimliklerine dayalı olarak giden trafik üzerinde yetkilendirme ilkeleri uygulamanıza olanak tanır.

6. Create seçeneğini tıklayın. Ağ geçidi durumu Running durumuna geçtiğinde egress ağ geçidi hazır demektir. Service address alanında egress ağ geçidinin IP adresi görüntülenir.

Egress ağ geçidini yönetme

Bir egress ağ geçidi oluşturduktan sonra bunu ASM konsolundan yönetebilirsiniz.

ACK konsolunda egress ağ geçidini görüntüleme

Egress ağ geçidi ayrıntıları ACK konsolunda da mevcuttur.

Sonraki adımlar

• ASM'de tüm giden trafiği yönlendirmek için egress ağ geçidi yapılandırma -- Giden trafiği egress ağ geçidi üzerinden yönlendirmek için yönlendirme kuralları ayarlayın.

• Giden trafiği yönetmek için egress trafik ilkesi kullanma -- ASMEgressTrafficPolicy CustomResourceDefinition (CRD) ile giden trafik yönetimini özelleştirin.

• Gözlemlenebilirlik -- Egress ağ geçidi üzerinden akan trafiği izleyin.

• Trafik güvenliği ve dinamik sertifika yükleme -- Giden trafiği TLS sertifikaları ile güvence altına alın.

• ASM ağ geçitlerine genel bakış -- Tüm ASM ağ geçidi türleri ve yetenekleri hakkında bilgi edinin.

Başvurular

• CreateASMGateway API -- Egress ağ geçidini programatik olarak oluşturun.

• ASM ağ geçidi için CRD alanları -- ASM ağ geçidi CRD alanları için tam başvuru.