卸载

$ kubectl delete serviceentry wikipedia
$ kubectl delete gateway istio-egressgateway-with-sni-proxy
$ kubectl delete virtualservice direct-wikipedia-through-egress-gateway
$ kubectl delete destinationrule egressgateway-for-wikipedia
$ kubectl delete --ignore-not-found=true envoyfilter forward-downstream-sni egress-gateway-sni-verifier

$ kubectl delete serviceentry sni-proxy
$ kubectl delete destinationrule disable-mtls-for-sni-proxy
$ kubectl delete -f ./istio-egressgateway-with-sni-proxy.yaml
$ kubectl delete configmap egress-sni-proxy-configmap -n istio-system

$ rm ./istio-egressgateway-with-sni-proxy.yaml
$ rm ./sni-proxy.conf

卸载

$ kubectl delete -f samples/sleep/sleep.yaml

Egress流量的kubernetes服务

kubernetes ExternalName services 和带Endpoints的kubernetes services 允许为外部服务创建本地DNS别名，该DNS别名的格式与本地服务的DNS表项的格式相同，即 ..svc.cluster.local。DNS别名为工作负载提供了位置透明性：负载可以通过这种方式调用本地和外部服务。如果某个时间需要在集群中部署外部服务，就可以通过更新该kubernetes service来引用本地版本。工作负载将继续运行，不需要做任何改变。

本任务将展示istio如何使用这些kubernetes机制来访问外部服务。不过此时必须使用TLS模式来进行访问，而不是istio的mutual TLS。因为外部服务不是istio服务网格的一部分，因此不能使用istio mutual TLS，必须根据外部服务的需要以及负载访问外部服务的方式来设置TLS模式。如果负载发起明文HTTP请求，但外部服务需要TLS，此时可能需要istio发起TLS。如果负载已经使用了TLS，那么流量已经经过加密，此时就可以禁用istio的mutual TLS。

本节描述如何将istio集成到现有kubernetes配置中

虽然本例使用了HTTP协议，但使用egress流量的kubernetes Services也可以使用其他协议。

部署

• 部署sleep应用并获取POD名称

  $ kubectl apply -f samples/sleep/sleep.yaml
  $ export SOURCE_POD=$(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name})
  

• 创建一个不使用istio的命名空间

  $ kubectl create namespace without-istio
  

• 在without-istio命名空间下启用sleep

  $ kubectl apply -f samples/sleep/sleep.yaml -n without-istio
  

• 创建一个环境变量SOURCE_POD_WITHOUT_ISTIO来保存without-istio命名空间下的pod名称

  $ export SOURCE_POD_WITHOUT_ISTIO="$(kubectl get pod -n without-istio -l app=sleep -o jsonpath={.items..metadata.name})"
  

• 校验该pod没有istio sidecar

  # kubectl get pod "$SOURCE_POD_WITHOUT_ISTIO" -n without-istio
  NAME                    READY   STATUS    RESTARTS   AGE
  sleep-f8cbf5b76-tbptz   1/1     Running   0          53s
  

通过kubernetes ExternalName service访问外部服务

1. 在default命名空间中为httpbin.org创建一个kubernetes ExternalName service，将外服服务httpbin.org映射为kubernetes服务my-httpbin，即可以通过访问my-httpbin.default.svc.cluster.local来访问my-httpbin。

   $ kubectl apply -f - <

2. 观察service，可以看到并没有cluster IP

   # kubectl get svc my-httpbin
   NAME         TYPE           CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
   my-httpbin   ExternalName          httpbin.org   80/TCP    3s
   

3. 在源pod(不带istio sidecar)中通过kubernetes的service主机名访问 httpbin.org。由于在网格中，因此不需要访问时禁用istio 的mutual TLS。

   # kubectl exec "$SOURCE_POD_WITHOUT_ISTIO" -n without-istio -c sleep -- curl my-httpbin.default.svc.cluster.local/headers
   {
     "headers": {
       "Accept": "*/*",
       "Host": "my-httpbin.default.svc.cluster.local",
       "User-Agent": "curl/7.64.0",
       "X-Amzn-Trace-Id": "Root=1-5f485a71-54548d2e5f8b0dc1002e2ce0"
     }
   }
   

4. 本例中，使用向 httpbin.org 发送了未加密的HTTP请求。为了简单例子，下面禁用了TLS模式，允许向外部服务发送未加密的流量。在实际使用时，建议配置Egress TLS源，下面相当于将流量重定向到内部服务my-httpbin.default.svc.cluster.local上，而my-httpbin.default.svc.cluster.local映射了外部服务 httpbin.org，这样就可以通过这种方式通过kubernetes service来访问外部服务。

   $ kubectl apply -f - <

5. 在带istio sidecar的pod中通过kubernetes service主机名访问httpbin.org，注意isito sidecar添加的首部，如 X-Envoy-Decorator-Operation。同时注意Host首部字段等于自己的service主机名。

   # kubectl exec "$SOURCE_POD" -c sleep -- curl my-httpbin.default.svc.cluster.local/headers
   {
     "headers": {
       "Accept": "*/*",
       "Content-Length": "0",
       "Host": "my-httpbin.default.svc.cluster.local",
       "User-Agent": "curl/7.64.0",
       "X-Amzn-Trace-Id": "Root=1-5f485d05-ac81b19dcee92359b5cae307",
       "X-B3-Sampled": "0",
       "X-B3-Spanid": "bee9babd29c28cec",
       "X-B3-Traceid": "b8260c4ba5390ed0bee9babd29c28cec",
       "X-Envoy-Attempt-Count": "1",
       "X-Envoy-Decorator-Operation": "my-httpbin.default.svc.cluster.local:80/*",
       "X-Envoy-Peer-Metadata": "ChoKCkNMVVNURVJfSUQSDBoKS3ViZXJuZXRlcwo2CgxJTlNUQU5DRV9JUFMSJhokMTAuODAuMi4yNixmZTgwOjozMGI4OmI3ZmY6ZmUxNDpiMjE0Ct4BCgZMQUJFTFMS0wEq0AEKDgoDYXBwEgcaBXNsZWVwChkKDGlzdGlvLmlvL3JldhIJGgdkZWZhdWx0CiAKEXBvZC10ZW1wbGF0ZS1oYXNoEgsaCWY4Y2JmNWI3NgokChlzZWN1cml0eS5pc3Rpby5pby90bHNNb2RlEgcaBWlzdGlvCioKH3NlcnZpY2UuaXN0aW8uaW8vY2Fub25pY2FsLW5hbWUSBxoFc2xlZXAKLwojc2VydmljZS5pc3Rpby5pby9jYW5vbmljYWwtcmV2aXNpb24SCBoGbGF0ZXN0ChoKB01FU0hfSUQSDxoNY2x1c3Rlci5sb2NhbAofCgROQU1FEhcaFXNsZWVwLWY4Y2JmNWI3Ni13bjlyNwoWCglOQU1FU1BBQ0USCRoHZGVmYXVsdApJCgVPV05FUhJAGj5rdWJlcm5ldGVzOi8vYXBpcy9hcHBzL3YxL25hbWVzcGFjZXMvZGVmYXVsdC9kZXBsb3ltZW50cy9zbGVlcAoaCg9TRVJWSUNFX0FDQ09VTlQSBxoFc2xlZXAKGAoNV09SS0xPQURfTkFNRRIHGgVzbGVlcA==",
       "X-Envoy-Peer-Metadata-Id": "sidecar~10.80.2.26~sleep-f8cbf5b76-wn9r7.default~default.svc.cluster.local"
     }
   }
   

$ kubectl delete destinationrule my-httpbin
$ kubectl delete service my-httpbin

$ kubectl delete destinationrule my-baidu-map
$ kubectl delete endpoints my-baidu-map
$ kubectl delete service my-baidu-map

$ kubectl delete -f samples/sleep/sleep.yaml
$ kubectl delete -f samples/sleep/sleep.yaml -n without-istio
$ kubectl delete namespace without-istio
$ unset SOURCE_POD SOURCE_POD_WITHOUT_ISTIO

$ kubectl apply -f samples/sleep/sleep.yaml
$ export SOURCE_POD=$(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name})

$ kubectl delete -f samples/sleep/sleep.yaml
$ kubectl delete -f samples/sleep/sleep.yaml -n external

$ kubectl delete -n external deployment squid
$ kubectl delete -n external configmap proxy-configmap
$ rm ./proxy.conf

$ kubectl delete namespace external

$ kubectl delete serviceentry proxy