Alibaba Cloud Service Mesh (ASM) ağ geçitleri, iş yüklerinizin yanında çalışan sidecar proxy'lerinden ayrı olarak mesh'inizin kenarında çalışan bağımsız Envoy proxy'leridir. Tek bir kontrol düzlemi üzerinden yönetilen yönlendirme kuralları, güvenlik ilkeleri ve gözlemlenebilirlik yapılandırmalarını uyguladığınız özel giriş ve çıkış noktaları olarak hizmet ederler.
Standart bir Kubernetes Ingress denetleyicisinin aksine ASM ağ geçitleri service mesh'in tam trafik yönetimi yeteneklerini sunar: Katman 4-7 yük dengeleme, mTLS, ayrıntılı yetkilendirme ve protokole duyarlı yönlendirme. Ağ geçidi davranışını Istio gateway kaynakları veya Kubernetes Gateway API ile tanımlar; ardından Katman 7 yönlendirmesi için sanal hizmetleri bağlarsınız.
ASM üç tür ağ geçidi sağlar:
| Ağ geçidi türü | İşlevi | Ne zaman kullanılır |
|---|---|---|
| Ingress gateway | Gelen trafiği mesh içindeki hizmetlere yönlendirir. Katman 7'de çalışarak HTTP isteklerini yollara, ana bilgisayar üstbilgilerine veya diğer istek niteliklerine göre farklı Kubernetes hizmetlerine dağıtır. | Katman 7 yük dengeleme, TLS sonlandırma ve erişim kontrolü ile tek bir giriş noktası üzerinden hizmetleri internete veya dahili bir ağa açın. |
| Egress gateway | Mesh hizmetlerinden gelen giden trafiği merkezi bir çıkış noktası üzerinden harici uç noktalara yönlendirir. | Giden trafikte güvenlik ilkelerini uygulayın ve harici hizmet trafiğinin yönlendirilmesini merkezi olarak yönetin. |
| Istio gateway | Mesh kenarındaki bir yük dengeleyicinin gelen veya giden HTTP ve TCP bağlantılarını nasıl işlediğini tanımlayan bir yapılandırma kaynağıdır. Katman 7 yönlendirmesi için buna bir sanal hizmet bağlayın. | Bir yük dengeleyici için bağlantı noktası, protokol ve TLS ayarlarını tanımlayın; ardından yönlendirme kurallarını sanal hizmetler aracılığıyla ekleyin. |
Ingress gateway
Ingress gateway, Katman 7'de gelen trafik için birleşik bir giriş noktası sağlar. URL yollarına, ana bilgisayar üstbilgilerine ve diğer istek niteliklerine dayalı olarak HTTP isteklerini aynı TCP bağlantı noktasından farklı Kubernetes hizmetlerine yönlendirir.
Ingress gateway'leri dağıtma ve yönetme
| Özellik | Açıklama | Referans |
|---|---|---|
| Ingress gateway oluşturma | İnternet veya dahili ağ erişimi için tek bir giriş noktası olarak bir Kubernetes kümesinde ingress gateway dağıtın. Ağ geçidini ASM konsolu üzerinden yönetin. | Ingress gateway oluşturun |
| Sunucusuz ağ geçitleri | Tamamen ASM tarafından yönetilen sunucusuz modda ağ geçitleri dağıtın. Sunucusuz ağ geçitleri, Container Service for Kubernetes (ACK) kümelerine bağlı kalmadan otomatik ölçeklendirme ile trafik dalgalanmalarını yönetir. ACK kümelerinde çalışan standart ASM ağ geçitleriyle karşılaştırıldığında sunucusuz ağ geçitleri daha yüksek kararlılık, daha iyi esneklik ve daha düşük maliyet sunar. | ASM sunucusuz ağ geçitlerini kullanın |
| Network Load Balancer (NLB) desteği | Otomatik ölçeklendirmeli Katman 4 yük dengeleme için bir NLB örneğini ingress gateway ile ilişkilendirin. Varsayılan olarak ServiceType değerini LoadBalancer olarak ayarlamak bir Classic Load Balancer (CLB) örneği ilişkilendirir. |
Ingress gateway ile NLB örneği ilişkilendirin |
Desteklenen protokoller
| Özellik | Açıklama | Referans |
|---|---|---|
| Trafik yönlendirme (GUI) | YAML yazmadan grafiksel bir arayüz üzerinden hedef kuralları ve sanal hizmetler oluşturun. | ASM ağ geçidi için trafik yönlendirmeyi yapılandırın |
| TCP trafiği geçişi | Ağ topolojisini optimize ederken, uygulama sunucularını yatay olarak ölçeklendirirken veya trafiği kısıtlarken iş sürekliliğini korumak için TCP trafiğini sorunsuz şekilde geçirin. | TCP trafiğini aktarmak için ASM'yi kullanın |
| gRPC | Erişim kontrolü ve hizmet yönetimi ile mesh'inizdeki gRPC hizmetlerine ingress gateway üzerinden erişin. | gRPC hizmetine erişmek için ingress gateway kullanın |
| gRPC-JSON dönüştürme | JSON gövdeli HTTP isteklerini gRPC isteklerine dönüştürmek için ASMGrpcJsonTranscoder'ı kullanarak HTTP/JSON istemcilerinin gRPC hizmetlerine erişmesine olanak tanıyın. | HTTP/JSON'den gRPC'ye dönüştürme için ASMGrpcJsonTranscoder'ı kullanın |
| WebSocket | Ingress gateway üzerinden WebSocket hizmetlerine erişin. WebSocket, uygulama katmanında tek bir TCP bağlantısı üzerinden tam çift yönlü iletişim sağlar. | WebSocket hizmetine erişmek için ingress gateway kullanın |
Trafik yönetimi
| Özellik | Açıklama | Referans |
|---|---|---|
| Yerel kısıtlama | Trafik dalgalanmaları sırasında sisteminizi aşırı yüklenmeye karşı korumak için ağ geçidi veya hizmet düzeyinde trafiği kısıtlayın. | Ingress gateway üzerinde yerel kısıtlamayı yapılandırın |
| Global kısıtlama | Trafik ani yükselmelerini işlemek, hizmet aşırı yüklenmesini önlemek ve saldırılara karşı savunmak için ingress gateway üzerindeki belirli rotalara hız sınırları uygulayın. | Ingress gateway üzerinde global kısıtlamayı yapılandırın |
| Devre kesme | Müdahaleci olmayan trafik yönetimi için sanal hizmetler ve hedef kuralları aracılığıyla rota düzeyinde devre kesmeyi yapılandırın. | Rota düzeyinde devre kesmeyi kullanın |
| Gateway API | İfade gücü yüksek, genişletilebilir ve rol odaklı hizmet ağları için SIG-NETWORK topluluğunun açık kaynak projesi olan Kubernetes Gateway API'yi kullanarak yönlendirme kurallarını tanımlayın. | Yönlendirme kuralı tanımlamak için Gateway API'yi kullanın |
| Ingress denetleyici modu | Bir kümedeki hizmetleri açığa çıkarmak için ASM ağ geçidini Kubernetes Ingress denetleyicisi olarak kullanın. | ASM ağ geçidini Ingress denetleyicisi olarak kullanın |
| Trafik yansıtma | Üretim ortamını etkilemeden değişiklikleri doğrulamak için üretim trafiğini bir test kümesine veya hizmet sürümüne yansıtın. | Kümeler arasında trafik yansıtmayı kullanın |
| Oturum benzeşimi | Aynı kullanıcıdan veya oturumdan gelen tüm istekleri aynı arka uç sunucusuna yönlendirin. Alışveriş sepetlerinde, oturum açma oturumlarında ve kişiselleştirilmiş ayarlarda durumu korumak için kullanışlıdır. | ASM ingress gateway'de oturum benzeşimini uygulayın |
TLS ve sertifika yönetimi
Ingress gateway ile sidecar proxy arasındaki tüm veriler bir mTLS tünelinden geçer. Uygulamanıza sidecar proxy'ler enjekte edilirse uçtan uca şifrelemeyi sürdürmek için ingress gateway üzerinde TLS sonlandırmasını yapılandırın.
| Özellik | Açıklama | Referans |
|---|---|---|
| Dinamik sertifika yükleme ile HTTPS | Gerçek zamanlı sertifika güncellemeleri ile ingress gateway üzerinde HTTPS'yi etkinleştirin. Ağ geçitlerini yeniden başlatmadan veya gizli birimlerini mount etmeden özel anahtarları, sunucu sertifikalarını ve kök sertifikaları yapılandırın. Farklı ana bilgisayarlar için birden çok sertifikayı ve bunların özel anahtarlarını yönetin. | HTTPS'yi etkinleştirmek için ingress gateway kullanın |
| TLS pass-through | Şifreli trafiği ağ geçidinde TLS'yi sonlandırmadan doğrudan arka uç hizmetlerine iletin. Sidecar proxy'lerin enjekte edilmediği veya uygulama düzeyinde uçtan uca şifreleme gerektiren diğer durumlarda bunu kullanın. | Ingress gateway üzerinde TLS pass-through'u etkinleştirin |
| CLB üzerinde HTTPS dinleyici | Ingress gateway'in CLB örneğine bir sertifika bağlayarak HTTPS dinleyici oluşturun. Dinleyici, HTTPS isteklerinin şifresini çözerek HTTP'ye dönüştürür ve bunları ağ geçidi pod'una iletir. | CLB örneği için HTTPS dinleyici oluşturun |
| Sertifika yönetimi | Bir ASM örneğindeki birden çok küme arasında sertifikaları eşitleyin. Sertifika ayrıntılarını görüntüleyin ve sona erme uyarılarını yapılandırın. | Sertifika yönetimi özelliğini kullanın |
| TLS sürümü zorlama | Adam ortadaki saldırıları ve veri ihlallerini önlemek için eski TLS sürümlerini (1,0 ve 1,1) devre dışı bırakın ve TLS 1,2 veya sonraki sürümleri zorunlu kılın. | Ingress gateway üzerinde TLS sürümlerini yapılandırın |
| gRPC için mTLS | İki yönlü kimlik doğrulamayı ve uçtan uca şifrelemeyi zorunlu kılmak için gRPC hizmetleri için Karşılıklı TLS (mTLS) yapılandırın. | mTLS tabanlı gRPC'yi yapılandırmak için ingress gateway kullanın |
| Sertifikayı alan adına bağlama | Konsol aracılığıyla bir sertifikayı bir alan adıyla eşleştirin; ardından ingress gateway üzerinden alan adına HTTPS ile erişin. | Sertifikayı alan adına bağlayın |
| WAF entegrasyonu | Ingress gateway'i bir Web Application Firewall (WAF) örneğine bağlayın ve WAF tarafından eklenen üstbilgileri görüntülemek için erişim günlük alanlarını özelleştirin. | Ingress gateway'i WAF örneğine bağlayın |
| cert-manager entegrasyonu | ASM ağ geçitleri için sertifikaları yayınlamak ve yönetmek üzere cert-manager'ı kullanarak hizmetlere HTTPS erişimini etkinleştirin. | ASM ağ geçitleri için sertifikaları yönetmek üzere cert-manager'ı kullanın |
Yetkilendirme ve erişim kontrolü
| Özellik | Açıklama | Referans |
|---|---|---|
| IP tabanlı erişim kontrolü | Kaynak IP adreslerine, alan adlarına, bağlantı noktalarına veya uzak IP bloklarına göre isteklere izin vermek veya reddetmek için engelleme listesi veya izin listesi yapılandırın. | Ingress gateway için engelleme listesi veya izin listesi yapılandırın |
| Özel yetkilendirme | Belirli hizmetlere erişimi kısıtlamak için alan adlarına, yollara ve HTTP yöntemlerine dayalı erişim kontrol ilkelerini tanımlayın. | Özel yetkilendirmeyi uygulayın |
| OIDC tabanlı tek oturum açma (SSO) | Alibaba Cloud IDaaS veya diğer OIDC uyumlu kimlik sağlayıcılarını kullanarak OpenID Connect (OIDC) SSO'yu yapılandırın. Uygulamalarınızı değiştirmeden tek bir kimlikle birden çok sisteme erişin. | Ingress gateway üzerinde OIDC tabanlı SSO'yu yapılandırın |
| JWT kimlik doğrulama | Ağ geçidi düzeyinde kullanıcıların kimliğini doğrulamak için istek üstbilgilerindeki JSON Web Token'ları (JWT) doğrulayın. Yalnızca geçerli bir JWT içeren istekler arka uç hizmetlerine iletilir. | Ingress gateway üzerinde JWT tabanlı kimlik doğrulamayı yapılandırın |
| Son kullanıcı JWT kimlik doğrulaması | İstek üstbilgilerindeki JWT'leri doğrulayarak ingress gateway'de isteklerin kaynağının kimliğini doğrulayın. | ASM'de ingress gateway için JWT kimlik doğrulamasını yapılandırın |
| OPA entegrasyonu | Kullanıcı kimliklerine veya istek içeriğine dayalı ayrıntılı yetkilendirme ilkeleri tanımlamak için Open Policy Agent (OPA) motorunu ingress gateway ile entegre edin. | OPA motorunu ingress gateway ile entegre edin |
| IDaaS ile SSO | Kod değişikliği gerektirmeden Alibaba Cloud IDaaS aracılığıyla bir ASM örneğindeki tüm uygulamalar için tek oturum açmayı uygulayın. | SSO için IDaaS'ı ASM ile entegre edin |
| Keycloak ile SSO | Bir ASM örneğindeki uygulamalar için tek oturum açmayı uygulamak üzere kendi kendine yönetilen Keycloak'ı kimlik sağlayıcısı olarak kullanın. | SSO için Keycloak'ı ASM ile entegre edin |
| CORS | İstemciler ve hizmetler arasında çapraz etki alanı erişimine izin vermek için sanal bir hizmette çapraz kaynak paylaşımı (CORS) ilkelerini yapılandırın. | ASM'de CORS'u uygulayın |
| Katman 7 proxy ile IP kısıtlaması | İstemci ile ASM ağ geçidi arasında Katman 7 proxy olsun veya olmasın belirli IP adreslerinin uygulamalara erişimini kısıtlayın. | Belirli IP adreslerinin uygulamalara erişimini kısıtlayın |
Ağ ve yapılandırma
| Özellik | Açıklama | Referans |
|---|---|---|
| Paylaşılan Istio gateway | Yapılandırmayı basitleştirmek için birden çok ingress gateway için tek bir Istio gateway kaynağı yapılandırın. | Birden çok ingress gateway için Istio gateway yapılandırın |
| Birden çok CLB örneği | Ek yük dengeleme kapasitesi için tek bir ingress gateway ile birden çok CLB örneğini ilişkilendirin. | Birden çok CLB örneği kullanarak ingress gateway'e erişin |
| İstemci IP'sini çıkarma | IP tabanlı erişim kontrol ilkelerini etkinleştirmek için HTTP istek üstbilgilerinden kaynaklanan istemci IP adresini çıkarın. | İstemcinin kaynak IP adresini edinin |
| IPv6 desteği | IPv4'e kıyasla daha yüksek güvenlik için IPv6 adresine sahip bir ingress gateway oluşturun. | IPv6 adresi kullanan bir ingress gateway oluşturun |
| Pod'lardan CLB erişimi | Veri düzlemindeki pod'lar bir ingress gateway'in CLB IP adresine ulaşamazsa bunun yerine küme IP'si veya ağ geçidi adı üzerinden erişin. | Veri düzlemi pod'larından CLB erişim sorunlarını çözün |
| HTTP/2'yi devre dışı bırakma | İstemci tarafındaki HTTP/2 sınırlamaları yapılandırma yoluyla çözülemediğinde HTTPS etkinleştirilmiş bir ingress gateway üzerinde HTTP/2'yi devre dışı bırakın. | Ingress gateway üzerinde HTTP/2'yi devre dışı bırakın |
Egress gateway
Egress gateway, mesh'ten çıkan trafik için merkezi bir çıkış noktası sağlar. Harici iletişimler üzerinde görünürlük ve kontrol elde etmek için tüm giden trafiği özel bir ağ geçidi üzerinden yönlendirin.
Egress gateway'leri ASM konsolu veya Kubernetes API aracılığıyla yönetin.
| Özellik | Açıklama | Referans |
|---|---|---|
| Egress gateway oluşturma | İnternet veya dahili ağ trafiği için merkezi bir çıkış noktası olarak bir Kubernetes kümesinde egress gateway dağıtın. | Egress gateway oluşturun |
| Tüm giden trafiği yönlendirme | Güvenlik kontrolü ve yönlendirme için tüm giden trafiği merkezi olarak yönetmek üzere egress gateway yapılandırın. | Tüm giden trafiği yönlendirmek için egress gateway yapılandırın |
| Egress trafik ilkesi (CRD) | CustomResourceDefinition (CRD) alanlarını kullanarak egress trafik ilkelerini tanımlayın. ASM sürüm 1,16,4 veya sonraki bir sürüm gerekir. | Egress trafiğini yönetmek için egress trafik ilkesini kullanın |
Istio gateway
Istio gateway, mesh'inizin kenarında çalışan bir yük dengeleyiciyi tanımlayan bir yapılandırma kaynağıdır. Yük dengeleyicinin hangi bağlantı noktalarını, protokolleri ve TLS ayarlarını açığa çıkardığını belirtir. Katman 7 yönlendirme kuralları eklemek için bir sanal hizmeti Istio gateway'e bağlayın.
| Özellik | Açıklama | Referans |
|---|---|---|
| Istio gateway'leri yönetme | ASM konsolunda Istio gateway'leri oluşturun, değiştirin ve silin. | Istio gateway'leri yönetin |
Yüksek kullanılabilirlik
ASM, yükseltmeler, ölçeklendirme ve arızalar sırasında ağ geçitlerinin yüksek kullanılabilirliğini korumak ve trafik kaybını en aza indirmek için birkaç strateji destekler.
| Özellik | Açıklama | Referans |
|---|---|---|
| Yüksek performanslı ağ geçidi yapılandırması | Yüksek performans ve yüksek kullanılabilirlik için ASM ağ geçidini yapılandırın. | Yüksek performanslı ve yüksek kullanılabilirliğe sahip ASM ağ geçidini yapılandırın |
| Pod zamanlaması | Uygulama pod'larından izole etmek ve kullanılabilirliği artırmak için ağ geçidi pod'larını belirli düğümlere zamanlayın. | ASM ağ geçidinin pod'larını belirtilen bir düğüme zamanlayın |
| Sunucusuz ağ geçidi dağıtımı | Düğüm bakımı gerektirmeyen esnek iş yükleri için Elastic Container Instance ile sanal düğümlerde sunucusuz ASM ağ geçidi dağıtın. | Sunucusuz ASM ağ geçidi dağıtın |
| Pod anti-benzeşimi | Pod anti-benzeşimi ilkelerini kullanarak ağ geçidi pod'larını farklı düğümlere veya kullanılabilirlik alanlarına yayın. | Ingress gateway hizmeti için kullanılabilirliği artırın |
| Zarif kapatma | Uçuştaki isteklerin yapılandırılmış bir zaman penceresi içinde tamamlanmasına izin vererek ölçek azaltma veya yuvarlak yenileme sırasında trafik kaybını önleyin. | Zarif kapatmayı etkinleştirin |
| Çok küme girişi | Hizmetleri birden çok kümede dağıtın ve tüm kümelerdeki trafiği yönetmek için birleşik bir ingress gateway yapılandırın. | Birden çok küme için birleşik ingress gateway yapılandırın |
| Canary yükseltmesi | Yeni bir ağ geçidi pod sürümü başlatarak, trafik iletimini doğrulayarak ve ardından tam yükseltmeyi tamamlayarak ASM ağ geçidini kademeli olarak yükseltin. Sorun ortaya çıkarsa herhangi bir anda geri alın. | ASM ağ geçidinin canary yükseltmesini gerçekleştirin |
Gözlemlenebilirlik
Alibaba Cloud gözlemlenebilirlik hizmetleriyle yerleşik entegrasyon sayesinde erişim günlükleri ve ölçümler aracılığıyla ağ geçidi trafiğini izleyin.
| Özellik | Açıklama | Referans |
|---|---|---|
| Erişim günlükleri | Ağ geçidinde erişim günlükleri oluşturun (özelleştirilebilir alanlarla standart çıktıya yazdırılır) ve bunları depolama, analiz ve görselleştirme için Simple Log Service'e toplayın. | Erişim günlüğü oluşturma ve toplamayı yapılandırın |
| Ölçümler | Ağ geçidinde özelleştirilebilir ölçümler oluşturun ve bunları depolama, analiz ve görselleştirme için Managed Service for Prometheus'a toplayın. | Ölçüm oluşturma ve toplamayı yapılandırın |
İstek işleme
| Özellik | Açıklama | Referans |
|---|---|---|
| HTTP yanıt üstbilgileri | Uygulama güvenliğini artırmak için Envoy filtresi kullanarak web uygulamaları için HTTP yanıt üstbilgileri ekleyin. | Envoy filtresi kullanarak HTTP yanıt üstbilgileri ekleyin |
| Veri sıkıştırma | Yanıt boyutunu azaltmak ve yanıt süresini iyileştirmek için ASM ağ geçidinde veri sıkıştırmayı etkinleştirin. | Ingress gateway için veri sıkıştırmayı etkinleştirin |
Mevcut ağ geçitlerinden geçiş yapma
Şu anda kendi kendinize yönetilen bir Istio ingress gateway veya NGINX Ingress Controller kullanıyorsanız trafiği ASM kontrol düzlemi üzerinden merkezi yönetim için bir ASM ingress gateway'e geçirin.
| Geçiş yolu | Referans |
|---|---|
| Kendi kendine yönetilen Istio ingress gateway'den ASM'ye | Kendi kendine yönetilen Istio ingress gateway'den trafiği geçirin |
| NGINX Ingress Controller'dan ASM'ye | NGINX Ingress Controller'dan trafiği geçirin |
| NGINX yapılandırmalarından ASM'ye | Ortak NGINX yapılandırmalarını geçirin |