Alibaba Cloud Service Mesh:Write a Wasm plug-in in Rust for an Envoy proxy in ASM

Nasıl çalışır

Wasm eklentisi, Envoy sunucusu içinde yalıtılmış bir modül olarak çalışır. Proxy-Wasm belirtimi, sunucu ana makinesi ile Wasm modülleri arasındaki iletişim için standart bir Application Binary Interface (ABI) tanımlar. Proxy-Wasm sunucudan bağımsız olduğundan bu ABI'ye göre oluşturulan eklentiler, belirtimi uygulayan herhangi bir sunucuda taşınabilir.

Proxy-Wasm Rust SDK'sı, eklenti mantığını üç trait türü etrafında düzenler:

Envoy bir HTTP isteği aldığında RootContext aracılığıyla yeni bir HttpContext örneği oluşturur. HttpContext geri aramaları, istek işlemenin her aşamasında tetiklenerek eklentinin başlıklar, gövde ve altbilgiler üzerinde tam kontrol sahibi olmasını sağlar.

Arka plan bilgileri

Wasm, neredeyse yerel düzeyde yürütme performansı sunar ve bellek açısından güvenli bir yalıtılmış alanda çalışır; bu durum, sunucu ikili dosyasını yeniden derlemeye gerek kalmadan Envoy'u genişletmek için uygun hale getirir. Ancak, yerleşik çöp toplama özelliğine sahip diller Wasm ortamında performans ek yüküne neden olabilir. Bu nedenle manuel bellek yönetimi sunan C++ ve Rust dilleri önerilir.

Rust, C++ ile karşılaştırıldığında daha basit bir derleme ve oluşturma iş akışı sunar ancak öğrenme eğrisi daha dik olabilir. Seçiminizi ekibinizin ilgili dillere olan aşinalığına göre yapın.

Ön koşullar

Başlamadan önce aşağıdaki ön koşulları sağladığınızdan emin olun:

• Sürüm %1,18 veya sonraki bir ASM örneğine eklenmiş bir küme. Daha fazla bilgi için bkz. ASM örneğine küme ekleme

• Etkinleştirilmiş sidecar injection. Daha fazla bilgi için bkz. Sidecar injection ilkesini yapılandırma

• Oluşturulmuş bir ingress gateway. Daha fazla bilgi için bkz. Ingress gateway oluşturma

• Dağıtılmış ve erişilebilir HTTPBin uygulaması. Daha fazla bilgi için bkz. HTTPBin uygulamasını dağıtma

• Oluşturulmuş bir Container Registry Enterprise Edition örneği. Daha fazla bilgi için bkz. Container Registry Enterprise Edition örneği oluşturma

İş akışı genel bakış

Uçtan uca süreç beş adımdan oluşur:

1. Geliştirme ortamını hazırlayın: Rust araç zincirini ve Wasm derleme hedefini yükleyin.

2. Eklentiyi yazın: Bir Rust kitaplığı projesi oluşturun, bağımlılıkları tanımlayın ve istek başlığı inceleme mantığını uygulayın.

3. Derleyin ve paketleyin: Rust kodunu bir Wasm ikili dosyasına derleyin ve bunu bir OCI görüntüsü olarak paketleyin.

4. Dağıtın: Görüntüyü Container Registry'ye gönderin ve ASM'de Wasm eklentisi kaynağını uygulayın.

5. Doğrulayın: Eklentinin trafiği beklendiği şekilde engellediğini ve izin verdiğini onaylamak için test istekleri gönderin.

Adım 1: Geliştirme ortamını hazırlayın

1. Rust araç zincirini rustup üzerinden yükleyin. Talimatlar için bkz. Rust yükleme.

2. wasm32-wasi derleme hedefini ekleyin: wasm32-wasi hedefi, Rust kodunu Envoy'un Wasm çalışma zamanının beklediği WASI sistem arayüzüne erişim sağlayan WebAssembly'e derler. Rust zaten yüklüyse önce güncelleyin:

      rustup target add wasm32-wasi

      rustup update

Adım 2: Eklentiyi yazın

Bu adım üç bölümü kapsar: projeyi oluşturma, bağımlılıkları yapılandırma ve eklenti mantığını uygulama.

mkdir rust-example && cd rust-example
cargo init --lib

[package]
name = "rust-example"
version = "0.1.0"
edition = "2021"

[lib]
# Build as a C-compatible dynamic library so Envoy can load it
crate-type = ["cdylib"]

[dependencies]
log = "0.4.8"
proxy-wasm = "0.2.2"

use log::info;
use proxy_wasm::traits::*;
use proxy_wasm::types::*;

proxy_wasm::main! {{
    proxy_wasm::set_log_level(LogLevel::Trace);
    proxy_wasm::set_root_context(|_| -> Box<dyn RootContext> { Box::new(HttpHeadersRoot) });
}}

struct HttpHeadersRoot;

// Inherit shared utility functions (property access, timers, etc.)
impl Context for HttpHeadersRoot {}

impl RootContext for HttpHeadersRoot {
    fn get_type(&self) -> Option<ContextType> {
        Some(ContextType::HttpContext)
    }

    fn create_http_context(&self, context_id: u32) -> Option<Box<dyn HttpContext>> {
        Some(Box::new(HttpHeaders { context_id }))
    }
}

struct HttpHeaders {
    context_id: u32,
}

impl Context for HttpHeaders {}

impl HttpContext for HttpHeaders {
    fn on_http_request_headers(&mut self, _: usize, _: bool) -> Action {
        info!("#{} wasm-rust: on_http_request_headers", self.context_id);

        match self.get_http_request_header("allow") {
            Some(allow) if allow == "true" => {
                Action::Continue
            }
            _ => {
                info!("#{} wasm-rust: allow header not found or is not true, deny by default", self.context_id);
                self.send_http_response(
                    403,
                    vec![("Content-Type", "text/plain")],
                    Some(b"Forbidden by ASM Wasm Plugin, rust version\n"),
                );
                Action::Pause
            }
        }
    }
}

cargo build --target wasm32-wasi --release

target/wasm32-wasi/release/rust_example.wasm

kubectl -n istio-system exec <gateway-pod-name> -c istio-proxy -- \
  curl -XPOST "localhost:15000/logging?wasm=debug"

curl <ASM-gateway-IP>/status/418

Forbidden by ASM Wasm Plugin, rust version

2024-09-05T08:33:31.079869Z  info  envoy wasm  wasm log istio-system.header-authorization: #2 wasm-rust: on_http_request_headers
2024-09-05T08:33:31.079943Z  info  envoy wasm  wasm log istio-system.header-authorization: #2 wasm-rust: allow header not found or is not true, deny by default
{"authority_for":"xx.xx.xx.xx","bytes_received":"0","bytes_sent":"43","downstream_local_address":"xx.xx.xx.xx:80","downstream_remote_address":"xx.xx.xx.xx:xxxxx","duration":"0","istio_policy_status":"-","method":"GET","path":"/status/418","protocol":"HTTP/1.1","request_id":"d5250d1a-54b3-406d-8bea-5a51b617b579","requested_server_name":"-","response_code":"403","response_flags":"-","route_name":"httpbin","start_time":"2024-09-05T08:33:31.079Z","trace_id":"-","upstream_cluster":"outbound|8000||httpbin.default.svc.cluster.local","upstream_host":"-","upstream_local_address":"-","upstream_response_time":"-","upstream_service_time":"-","upstream_transport_failure_reason":"-","user_agent":"curl/8.9.0-DEV","x_forwarded_for":"xx.xx.xx.xx"}

curl <ASM-gateway-IP>/status/418 -H "allow: true"

    -=[ teapot ]=-

       _...._
     .'  _ _ `.
    | ."` ^ `". _,
    \_;`"---"`|//
      |       ;/
      \_     _/
        `"""`