istio内置资源和sidecar注入初探

淩亂°似流年 2023-03-13 11:53 110阅读 0赞

**目录**

Gateway（gw）

VirtualService（vs）

DestinationRule（dr）

ServiceEntry(se)

sidecar注入以及流量劫持

sidecar注入过程

sidecar注入原理

sidecar注入结果

--------------------

## Gateway（gw） ##

istio中gateway资源可以将网格内部的服务暴露给网格外部的服务，供网格外部的服务调用，该资源描述了需要公开的**端口**、端口的**协议**类型、以及**域名**等。

下面是服务的gw资源配置文件示例。

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 </td> 
 <td> <code>apiVersion: networking.istio.io/v1alpha3</code> <code>kind: Gateway</code> <code>metadata:</code> <code>&nbsp;&nbsp;</code><code>name: mis-gateway-gateway</code> <code>&nbsp;&nbsp;</code><code>namespace: lyl</code> <code>spec:</code> <code>&nbsp;&nbsp;</code><code>selector:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>istio: ingressgateway # use istio </code><code>default</code> <code>controller</code> <code>&nbsp;&nbsp;</code><code>servers:</code> <code>&nbsp;&nbsp;</code><code>- port:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>number: </code><code>80</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>name: http</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>protocol: HTTP</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>hosts:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- </code><code>"*"</code> </td> 
 </tr> 
 </tbody> 
</table>

selector标明了该gateway选择用的pod，ingressgateway实际上是一个istio-proxy，这里gateway用label关联了istio的ingressgateway。

我们可以用命令查找出该pod：

<table> 
 <tbody> 
 <tr> 
 <td> <code>kubectl get po -l istio=ingressgateway -n istio-system</code> </td> 
 </tr> 
 </tbody> 
</table>

![20200513143545370.png][]

我们查看该pod的配置，发现该pod有一个container，名称为istio-proxy，该服务负责从网格外转发请求到网格内。

istio-proxy实际上是envoy + 管理envoy的父进程pilot-agent。

<table> 
 <tbody> 
 <tr> 
 <td> <code>kubectl get po -l istio=ingressgateway -n istio-system -o json</code> </td> 
 </tr> 
 </tbody> 
</table>

## ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70][] ##

## VirtualService（vs） ##

virtualService用来与Gateway绑定，实现服务访问**路由**控制、服务版本与**流量**的控制。

下面是服务的vs配置示例：

<table> 
 <tbody> 
 <tr> 
 <td> <code>apiVersion: networking.istio.io/v1alpha3</code> <code>kind: VirtualService</code> <code>metadata:</code> <code>&nbsp;&nbsp;</code><code>name: go-center-mis-gateway-vs</code> <code>&nbsp;&nbsp;</code><code>namespace: lyl</code> <code>spec:</code> <code>&nbsp;&nbsp;</code><code>hosts:</code> <code>&nbsp;&nbsp;</code><code>- </code><code>"*"</code> <code>&nbsp;&nbsp;</code><code>gateways:</code> <code>&nbsp;&nbsp;</code><code>- mis-gateway-gateway</code> <code>&nbsp;&nbsp;</code><code>http:</code> <code>&nbsp;&nbsp;</code><code>- match:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- uri:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>exact: /</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>route:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- destination:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>host: go-center-mis-gateway</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>subset: v1</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>weight: </code><code>80</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- destination:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>host: go-center-mis-gateway</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>subset: v2</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>weight: </code><code>20</code> </td> 
 </tr> 
 </tbody> 
</table>

1.  gateways表示与哪些gateway绑定，可以绑定多个gateway资源，这里我们绑定了上面创建的gateway资源。
2.  match与route搭配可实现路由控制，上面是将path / 下的请求全部路由到两个destination上。
3.  destination中描述了目标服务的具体信息，包含host服务域名、服务版本、版本权重等。
4.  virtual service与destination rule结合，可以实现服务版本的流量控制，新版本的灰度发布可以根据这个来实现。

协议支持：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 1][]

http协议流量规则：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 2][]

## DestinationRule（dr） ##

外部请求经过VirtualService的路由规则后，如果目标服务设置了dr，那么dr配置的**目标服务策略**会生效。

下面是服务的dr配置示例：

<table> 
 <tbody> 
 <tr> 
 <td> <code>apiVersion: networking.istio.io/v1alpha3</code> <code>kind: DestinationRule</code> <code>metadata:</code> <code>&nbsp;&nbsp;</code><code>name: go-center-mis-gateway-dr</code> <code>&nbsp;&nbsp;</code><code>namespace: lyl</code> <code>spec:</code> <code>&nbsp;&nbsp;</code><code>host: go-center-mis-gateway</code> <code>&nbsp;&nbsp;</code><code>trafficPolicy:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>loadBalancer:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>simple: ROUND_ROBIN</code> <code>&nbsp;&nbsp;</code><code>subsets:</code> <code>&nbsp;&nbsp;</code><code>- name: v1</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>labels:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>version: v1</code> <code>&nbsp;&nbsp;</code><code>- name: v2</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>labels:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>version: v2</code> </td> 
 </tr> 
 </tbody> 
</table>

1. host是服务的域名
2. trafficPolicy是对于服务pod的流量规则，比较重要的如loadBalancer、connectionPool、outlierDetection
 
 ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 3][]
 
 loadBalancer simple规则： 
 ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 4][]
 
 http connectionPool规则：
 
 ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 5][]
 
 outlierDetection可实现异常点检测与熔断：
 
 ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 6][]
3. subset描述了服务的子集，该子集由带有标签（version: v2）的pod组成，不同的子集也可以设置不同的trafficPolicy，如下面的例子，默认lb策略是least\_conn，而v3版本则是轮询策略。
 
 <table> 
 <tbody> 
 <tr> 
 <td> <code>apiVersion: networking.istio.io/v1alpha3</code> <code>kind: DestinationRule</code> <code>metadata:</code> <code>&nbsp;&nbsp;</code><code>name: bookinfo-ratings</code> <code>spec:</code> <code>&nbsp;&nbsp;</code><code>host: ratings.prod.svc.cluster.local</code> <code>&nbsp;&nbsp;</code><code>trafficPolicy:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>loadBalancer:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>simple: LEAST_CONN</code> <code>&nbsp;&nbsp;</code><code>subsets:</code> <code>&nbsp;&nbsp;</code><code>- name: testversion</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>labels:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>version: v3</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>trafficPolicy:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>loadBalancer:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>simple: ROUND_ROBIN</code> </td> 
 </tr> 
 </tbody> 
 </table>

## ServiceEntry(se) ##

功能：

1.  将网格外的服务加到服务发现中，就像是网格内的服务一样被治理（成为k8s中的一个service），如网格外的mysql、redis等服务，或是部署在物理机上未加入网格内部的服务。

机制：

1.  将ServiceEntry描述的service加到服务发现中，对这些服务的outbound流量进行拦截，从而进行治理。
2.  当ServiceEntry描述的service有endpoint变化时，我们可以监听其变化，利用k8s基建，创建或者删除k8s该service的endpoint，由于istio的服务发现依赖于k8s，该变化会被istio pilot-discovery感知到，并通过xDs通知envoy。
3.  istio服务发现概览：
4.  ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 7][]
5.  TODO：serviceEntry其他配置文件等待补充……

## sidecar注入以及流量劫持 ##

sidecar模式：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 8][]

Sidecar 连接到父应用并且为其添加扩展或者增强功能。

使用sidecar的优势：

*  将与应用业务逻辑无关的功能抽象到共同基础设施，降低了微服务代码的复杂度。
 *  因为不再需要编写相同的第三方组件配置文件和代码，所以能够降低微服务架构中的代码重复度。
 *  Sidecar 可独立升级，降低应用程序代码和底层平台的耦合度。

### sidecar注入过程 ###

在创建namespace lyl时，我们使用了istio的自动注入：

<table> 
 <tbody> 
 <tr> 
 <td> <code>kubectl label namespace lyl istio-injection=enabled --overwrite</code> </td> 
 </tr> 
 </tbody> 
</table>

注入以后，我们看下namespace的配置，多了一个label，istio-injection=enable

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 9][]

### sidecar注入原理 ###

sidecar注入依赖于Kubernetes 的准入控制器。

来自 Kubernetes 文档：

*准入控制器是一段代码，会拦截 Kubernetes API Server 收到的请求，拦截发生在认证和鉴权完成之后，对象进行持久化之前。可以定义两种类型的 Admission webhook：Validating 和 Mutating。Validating 类型的 Webhook 可以根据自定义的准入策略决定是否拒绝请求；Mutating 类型的 Webhook 可以根据自定义配置来对请求进行编辑。*

简单来说，sidecar的注入是在api-server接收到deployment pod的请求之后，写入etcd之前做的事情。

对于 sidecar 自动注入，Istio 依赖于 `Mutating Admission Webhook`。让我们来看看 `istio-sidecar-injector` 中的配置详情。

`kubectl get mutatingwebhookconfiguration istio-sidecar-injector -o yaml`

<table> 
 <tbody> 
 <tr> 
 <td> <code>apiVersion: admissionregistration.k8s.io/v1beta1</code> <code>kind: MutatingWebhookConfiguration</code> <code>metadata:</code> <code>&nbsp;&nbsp;</code><code>annotations:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>kubectl.kubernetes.io/last-applied-configuration: |</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code><code>"apiVersion"</code><code>:</code><code>"admissionregistration.k8s.io/v1beta1"</code><code>,</code><code>"kind"</code><code>:</code><code>"MutatingWebhookConfiguration"</code><code>,</code><code>"metadata"</code><code>:{ </code><code>"annotations"</code><code>:{},</code><code>"labels"</code><code>:{ </code><code>"app"</code><code>:</code><code>"istio-sidecar-injector"</code><code>,</code><code>"chart"</code><code>:</code><code>"sidecarInjectorWebhook-1.0.1"</code><code>,</code><code>"heritage"</code><code>:</code><code>"Tiller"</code><code>,</code><code>"release"</code><code>:</code><code>"istio-remote"</code><code>},</code><code>"name"</code><code>:</code><code>"istio-sidecar-injector"</code><code>,</code><code>"namespace"</code><code>:</code><code>""</code><code>},</code><code>"webhooks"</code><code>:[{ </code><code>"clientConfig"</code><code>:{ </code><code>"caBundle"</code><code>:</code><code>""</code><code>,</code><code>"service"</code><code>:{ </code><code>"name"</code><code>:</code><code>"istio-sidecar-injector"</code><code>,</code><code>"namespace"</code><code>:</code><code>"istio-system"</code><code>,</code><code>"path"</code><code>:</code><code>"/inject"</code><code>}},</code><code>"failurePolicy"</code><code>:</code><code>"Fail"</code><code>,</code><code>"name"</code><code>:</code><code>"sidecar-injector.istio.io"</code><code>,</code><code>"namespaceSelector"</code><code>:{ </code><code>"matchLabels"</code><code>:{ </code><code>"istio-injection"</code><code>:</code><code>"enabled"</code><code>}},</code><code>"rules"</code><code>:[{ </code><code>"apiGroups"</code><code>:[</code><code>""</code><code>],</code><code>"apiVersions"</code><code>:[</code><code>"v1"</code><code>],</code><code>"operations"</code><code>:[</code><code>"CREATE"</code><code>],</code><code>"resources"</code><code>:[</code><code>"pods"</code><code>]}]}]}</code> <code>&nbsp;&nbsp;</code><code>creationTimestamp: </code><code>2018</code><code>-</code><code>12</code><code>-10T08:</code><code>40</code><code>:15Z</code> <code>&nbsp;&nbsp;</code><code>generation: </code><code>2</code> <code>&nbsp;&nbsp;</code><code>labels:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>app: istio-sidecar-injector</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>chart: sidecarInjectorWebhook-</code><code>1.0</code><code>.</code><code>1</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>heritage: Tiller</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>release: istio-remote</code> <code>&nbsp;&nbsp;</code><code>name: istio-sidecar-injector</code> <code>&nbsp;&nbsp;</code><code>.....</code> <code>webhooks:</code> <code>- clientConfig:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>service:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>name: istio-sidecar-injector</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>namespace: istio-system</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>path: /inject</code> <code>&nbsp;&nbsp;</code><code>name: sidecar-injector.istio.io</code> <code>&nbsp;&nbsp;</code><code>namespaceSelector:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>matchLabels:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>istio-injection: enabled</code> <code>&nbsp;&nbsp;</code><code>rules:</code> <code>&nbsp;&nbsp;</code><code>- apiGroups:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- </code><code>""</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>apiVersions:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- v1</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>operations:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- CREATE</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>resources:</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>- pods</code> </td> 
 </tr> 
 </tbody> 
</table>

在配置文件中，我们看到有namespaceSelector配置，matchLabels表明如果namespace满足有label：istio-injection=enable（上面截图可以看到我们的namespace lyl已经满足这个条件），并且满足下面列的rules：v1 version，且动作是pod的创建，那么mutatingWebhook会执行istio-sidecar-injector这个service，给创建的pod注入配置。

### sidecar注入结果 ###

sidecar注入以后，查看服务启动的pod信息

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 10][]

可以看到，每个pod都有两个ready的容器，一个是我们的服务容器，另一个就是sidecar容器。

查看下第一个pod具体的配置信息：

<table> 
 <tbody> 
 <tr> 
 <td> <code>kubectl get po $(kubectl get po -n lyl | grep v1 | awk </code><code>'{print $1}'</code><code>) -n lyl -o json</code> </td> 
 </tr> 
 </tbody> 
</table>

![20200513144149732.png][]

发现有两个containers，具体展开可以看到一个是我们自己服务的容器，第二个是istio-proxy容器，也就是sidecar容器，之前说到istio-proxy实际上是pilot-agent + envoy两个父子进程，pilot负责管理envoy，所以实际上服务的sidecar就是envoy。

同时，在配置下方，我们还发现了另一个container，叫作istio-init container，这个init容器在pod初始化时创建，pod初始化完成就自动销毁了，从配置的command中可以看出，init容器主要用来创建iptables规则。istio-iptables的代码位于istio代码仓库的tools/istio-iptables目录。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 11][]

所以，Istio 给应用 Pod 注入的配置主要包括：

*  Init 容器 `istio-init`：用于 pod 中设置 iptables 端口转发。
 *  Sidecar 容器 `istio-proxy`：运行 sidecar 代理，即envoy。

iptables注入解析(以下iptables规则引用自[这里][Link 1]，本文不在详述)：

<table> 
 <tbody> 
 <tr> 
 <td> <code># 查看 NAT 表中规则配置的详细信息。</code> <code>$ iptables -t nat -L -v</code> <code># PREROUTING 链：用于目标地址转换（DNAT），将所有入站 TCP 流量跳转到 ISTIO_INBOUND 链上。</code> <code>Chain PREROUTING (policy ACCEPT </code><code>2701</code> <code>packets, 162K bytes)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> <code>&nbsp;</code><code>2701</code>&nbsp; <code>162K ISTIO_INBOUND&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere</code> &nbsp; <code># INPUT 链：处理输入数据包，非 TCP 流量将继续 OUTPUT 链。</code> <code>Chain INPUT (policy ACCEPT </code><code>2701</code> <code>packets, 162K bytes)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> &nbsp; <code># OUTPUT 链：将所有出站数据包跳转到 ISTIO_OUTPUT 链上。</code> <code>Chain OUTPUT (policy ACCEPT </code><code>79</code> <code>packets, </code><code>6761</code> <code>bytes)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> <code>&nbsp;&nbsp;&nbsp;</code><code>15</code>&nbsp;&nbsp; <code>900</code> <code>ISTIO_OUTPUT&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere</code> &nbsp; <code># POSTROUTING 链：所有数据包流出网卡时都要先进入POSTROUTING 链，内核根据数据包目的地判断是否需要转发出去，我们看到此处未做任何处理。</code> <code>Chain POSTROUTING (policy ACCEPT </code><code>79</code> <code>packets, </code><code>6761</code> <code>bytes)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> &nbsp; <code># ISTIO_INBOUND 链：将所有入站流量重定向到 ISTIO_IN_REDIRECT 链上，目的地为 </code><code>15090</code><code>（mixer 使用）和 </code><code>15020</code><code>（Ingress gateway 使用，用于 Pilot 健康检查）端口的流量除外，发送到以上两个端口的流量将返回 iptables 规则链的调用点，即 PREROUTING 链的后继 POSTROUTING。</code> <code>Chain ISTIO_INBOUND (</code><code>1</code> <code>references)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; tcp dpt:ssh</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>2</code>&nbsp;&nbsp; <code>120</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; tcp dpt:</code><code>15090</code> <code>&nbsp;</code><code>2699</code>&nbsp; <code>162K RETURN&nbsp;&nbsp;&nbsp;&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; tcp dpt:</code><code>15020</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>ISTIO_IN_REDIRECT&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere</code> &nbsp; <code># ISTIO_IN_REDIRECT 链：将所有的入站流量跳转到本地的 </code><code>15006</code> <code>端口，至此成功的拦截了流量到 sidecar 中。</code> <code>Chain ISTIO_IN_REDIRECT (</code><code>3</code> <code>references)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>REDIRECT&nbsp;&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; redir ports </code><code>15006</code> &nbsp; <code># ISTIO_OUTPUT 链：选择需要重定向到 Envoy（即本地） 的出站流量，所有非 localhost 的流量全部转发到 ISTIO_REDIRECT。为了避免流量在该 Pod 中无限循环，所有到 istio-proxy 用户空间的流量都返回到它的调用点中的下一条规则，本例中即 OUTPUT 链，因为跳出 ISTIO_OUTPUT 规则之后就进入下一条链 POSTROUTING。如果目的地非 localhost 就跳转到 ISTIO_REDIRECT；如果流量是来自 istio-proxy 用户空间的，那么就跳出该链，返回它的调用链继续执行下一条规则（OUTPUT 的下一条规则，无需对流量进行处理）；所有的非 istio-proxy 用户空间的目的地是 localhost 的流量就跳转到 ISTIO_REDIRECT。</code> <code>Chain ISTIO_OUTPUT (</code><code>1</code> <code>references)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; lo&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </code><code>127.0</code><code>.</code><code>0.6</code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <code>anywhere</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>ISTIO_IN_REDIRECT&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; lo&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; !localhost&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; owner UID match </code><code>1337</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; lo&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ! owner UID match </code><code>1337</code> <code>&nbsp;&nbsp;&nbsp;</code><code>15</code>&nbsp;&nbsp; <code>900</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; owner UID match </code><code>1337</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>ISTIO_IN_REDIRECT&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; lo&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; !localhost&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; owner GID match </code><code>1337</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; lo&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ! owner GID match </code><code>1337</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; owner GID match </code><code>1337</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>RETURN&nbsp;&nbsp;&nbsp;&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; localhost</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>ISTIO_REDIRECT&nbsp; all&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere</code> &nbsp; <code># ISTIO_REDIRECT 链：将所有流量重定向到 Sidecar（即本地） 的 </code><code>15001</code> <code>端口。</code> <code>Chain ISTIO_REDIRECT (</code><code>1</code> <code>references)</code> <code>&nbsp;</code><code>pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>0</code>&nbsp;&nbsp;&nbsp;&nbsp; <code>0</code> <code>REDIRECT&nbsp;&nbsp; tcp&nbsp; --&nbsp; any&nbsp;&nbsp;&nbsp; any&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; redir ports </code><code>15001</code> </td> 
 </tr> 
 </tbody> 
</table>

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 12][]

参考资料：

[https://jimmysong.io/blog/sidecar-injection-iptables-and-traffic-routing/][Link 1]

[https://istio.io/zh/docs/reference/config/networking/destination-rule/\#OutlierDetection][https_istio.io_zh_docs_reference_config_networking_destination-rule_OutlierDetection]

[20200513143545370.png]: /images/20230312/58832932e7ec4e74b50ddd49a9498064.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70]: /images/20230312/ada04ec22cd04d48bb972301c2b8030f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200513143649282.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200513143707629.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200513143740256.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200513143757366.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20200513144000582.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20200513144013177.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20200513144026708.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/20200513144052515.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 9]: https://img-blog.csdnimg.cn/20200513144117589.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 10]: https://img-blog.csdnimg.cn/20200513144131486.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[20200513144149732.png]: https://img-blog.csdnimg.cn/20200513144149732.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 11]: https://img-blog.csdnimg.cn/20200513144159224.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[Link 1]: https://jimmysong.io/blog/sidecar-injection-iptables-and-traffic-routing/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx_size_16_color_FFFFFF_t_70 12]: https://img-blog.csdnimg.cn/20200513144220587.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpeXVubG9uZzQx,size_16,color_FFFFFF,t_70
[https_istio.io_zh_docs_reference_config_networking_destination-rule_OutlierDetection]: https://istio.io/zh/docs/reference/config/networking/destination-rule/#OutlierDetection