*作者：古琦*

## 介紹

### 微服務開發的問題

微服務架構下我們在開發中遇到的常見的問題有以下 4 個：

-   多語言問題：有多種程式語言，node.js, JAVA, GoLang…微服務需要為每種語言都維護一種中介軟體 SDK

-   升級推動難：SDK 升級需要推動業務應用進行程式碼修改和釋出，對業務有打擾，業務壓力下推動成本高

-   迭代速度慢：由於多語言多版本的存在，需要花費大量精力去維護歷史版本，降低了迭代速度，升級速度慢 （在資料面選型上也考慮研發效能的問題

-   多版本問題：每種語言的 SDK 都面臨版本升級，同時存在大量不同的版本互相訪問，相容性和測試維護成本巨大

為了解決這些問題，服務網格的 Sidecar + APP 模式是一個很好的方案

![1.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/0a82e4ca432f4c14aa69498e7dc2b20a~tplv-k3u1fbpfcp-zoom-1.image "1.png")

### 服務網格

Service Mesh 是一個專門處理服務通訊的基礎設施層。它的職責是在由雲原生應用組成服務的複雜拓撲結構下進行可靠的請求傳送。在實踐中，它是一組和應用服務部署在一起的輕量級的網路代理，並且對應用服務透明。服務網格的概念被提出也有很多年了，服務網格的也出現了很多不同型別的實現，比如 Istio、Linkerd，Open Service Mesh 等等，還有出現類似 ebpf + envoy，proxylessMesh 等等其他方式的服務網格實現，其實都是在想如何解決當下生產、開發中的問題，我們熟知的關注度最多還是 Istio，架構如下：

![2.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/613bb6a62891442f910a9453f92656c2~tplv-k3u1fbpfcp-zoom-1.image "2.png")

透過 Sidecar 和業務應用分離，控制面 Istiod 實現對整個流量的管控，基於 Istio + Envoy 的能力實現了微服務的連線、安全、控制和可觀測，服務網格在微服務架構下體現了與應用解耦的平臺級服務治理能力，推出來統一的多協議多語言的微服務治理，同時保持了基礎架構與應用解耦，降低升級和運維的成本，而且實現了微服務間的安全可靠通訊，讓不同型別的微服務的通訊具備可觀測。

## 阿里雲專有云服務網格能力

服務網格的優勢被大家廣泛認可，直到今天已經有很多的使用者將服務網格使用在自己的生產業務系統中，但是對於很多的常見的使用者而言使用和運維這樣的一套系統還是過於複雜，在通常的使用中，可能我們只需要做一次灰度釋出，這時候就涉及不同規則的配置，非常容易出錯，如何定義好應用的 VirtualService、DestinationRule 等規則對於大部分使用者而言都需要很高的學習成本，為了減少使用的成本和運維難度，阿里雲專有云服務網格透過高度的產品化能力將服務網格的能力推出，只需要按照常見的思路去操作控制檯，即可輕鬆的完成比如灰度釋出、標籤路由、鑑權、全鏈路等能力。

下面是一張阿里雲專有云服務網格的能力大圖，覆蓋了協議、環境、服務治理、可觀測、安全生產幾個方面：

![3.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/ebd1781c887c469b854595b92162c9b9~tplv-k3u1fbpfcp-zoom-1.image "3.png")

接下來來介紹下我們的產品能力：

### 服務治理

-   **流量管理**

流量管理的能力很多，包含了負載均衡、熔斷、限流、超時、重試、流量映象、連線池管理、故障注入、同 AZ 路由、服務 Mock。

![4.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a12b738d02dd4683af8d96ba753c5005~tplv-k3u1fbpfcp-zoom-1.image "4.png")

限流的能力提供了單機的限流、基於 header 的限流、Path 的限流。

![5.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/589aed21265647ecbecc3c216b8033e7~tplv-k3u1fbpfcp-zoom-1.image "5.png")

故障注入中除了開源社群的服務級別的故障外，還提供了針對服務單個 Pod 的故障注入，這樣可以進行單個 Pod 的測試。

![6.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/99613594934441b588dd9f845ed8520a~tplv-k3u1fbpfcp-zoom-1.image "6.png")

服務 Mock 的能力可以為開發人員 Mock 指定介面的返回，在介面還沒有開發完成的時候，提高開發測試的效率，服務 Mock 的配置中可以選擇請求的路徑、埠號、方法、狀態碼、Header、返回 Json 資料。

![7.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/0023b91b8d1f4056b04be446a44a0b11~tplv-k3u1fbpfcp-zoom-1.image "7.png")

-   **標籤路由**

透過標籤路由可以選擇好基線的版本，然後選擇對應的路由版本，配置路由策略，比如基於權重的策略、基於內容的策略，透過簡單的配置輕鬆完成路由規則的配置。

![8.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/deaba70decb84600aa29e530d83b3ef8~tplv-k3u1fbpfcp-zoom-1.image "8.png")

-   **服務註冊**

服務註冊其實顧名思義就是將微服務註冊到註冊中心，這個能力主要是為了幫助一些非 Java 型別的服務實現跟已有 Java 型別服務的通訊，比如 Spring Cloud 服務需要與非 Java 互通，為了方便程式碼編寫，Spring Cloud 服務需要像呼叫其他 Spring Cloud 服務一樣去呼叫非 Java 服務，因此就需要非 Java 的服務註冊到對應的註冊中心，這裡我們支援了非 Java 服務註冊到 Nacos、Eureka 註冊中心。

![9.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/722946b13f24480f988c8748325bff81~tplv-k3u1fbpfcp-zoom-1.image "9.png")

-   **執行監控**

展示服務的執行監控資料，比如平均處理請求的次數、請求的成功率。

![10.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/38deba0d0f304680b06217aab72967ed~tplv-k3u1fbpfcp-zoom-1.image "10.png")

-   **灰度釋出**

可以透過釋出版本的方式釋出一個灰度版本的映象，填寫對應的版本號、映象，可以配置權重、內容路由規則，可以使用回滾、灰度成功能力。

![11.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/75dd152e18d24965a68f514ce7603163~tplv-k3u1fbpfcp-zoom-1.image "11.png")

![12.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/6ae172c963cd48109c7a06d918e65e00~tplv-k3u1fbpfcp-zoom-1.image "12.png")

![13.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1462f32ac8634edd9cd49fef7a2ccf3c~tplv-k3u1fbpfcp-zoom-1.image "13.png")

-   **零信任安全**

可以配置雙向身份認證、請求的 JWT 認證，還可以配置對應的授權策略。

![14.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c0112b419e154ad884c542b37d77cdbf~tplv-k3u1fbpfcp-zoom-1.image "14.png")

### 全鏈路路由

全鏈路路由可以實現在整條呼叫鏈按照指定規則路由，比如在測試某個服務是否符合預期，但是測試服務需要依賴其他服務，這時候可以透過全鏈路的能力，拉出一個開發環境的泳道，將指定 tag 標記的流量打到測試服務中，而其他請求還在基線環境中，這時候如果還有其他服務需要測試，也可以加入到這個泳道中一起測試，全鏈路路由的好處就是可以任意路由到服務鏈路中間服務，在基線環境外研發/測試人員可以輕鬆部署一套獨立環境，提升研發測試效率，降低運維成本。

![15.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a2d0e90d1a074b20afa236ab40a42326~tplv-k3u1fbpfcp-zoom-1.image "15.png")

-   **建立泳道**

建立一個屬於對應服務網格的泳道，即為不同的環境（建立泳道前先確定號基線版本環境）。

![16.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/308babf4c9d04572af2c702984c03367~tplv-k3u1fbpfcp-zoom-1.image "16.png")

-   **釋出服務/匯入服務**

建立好泳道後可以釋出一個服務到泳道中，也可以匯入部署的服務。

![17.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/cc7286b643f64906892d28dffe941c9a~tplv-k3u1fbpfcp-zoom-1.image "17.png")

選擇入口的應用，配置規則（什麼樣的流量特徵的請求可以進入泳道中）。

![18.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/3a9f024a04da40359e4c2ebc1d9892e0~tplv-k3u1fbpfcp-zoom-1.image "18.png")

### 入口閘道器

透過服務網格的 Istio Ingress Gateway 的能力可以將服務網格內服務暴露出去，協議上我們支援 HTTP、HTTPS、GRPC，除了暴露之外，我們還支援配置路由規則，這樣可以對入口服務的流量進行管理。

![19.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/329b82feeada4b34b9956501494fb3aa~tplv-k3u1fbpfcp-zoom-1.image "19.png")

### 外部服務

透過外部服務納管將網格外的服務納管進來管理，可以配置服務的協議、地址、EndPoint，還可以配置服務不同 EndPoint 的標籤。

![20.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d07450ec339f4e99bd32e6b7e4c4782e~tplv-k3u1fbpfcp-zoom-1.image "20.png")

### 服務拓撲

結合 Prometheus + Kiali，可以展示整個呼叫鏈路的拓撲結構，其中包含了呼叫的服務、版本等資訊。

![21.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/dceabda2d3704483b70c286c7c8b3e99~tplv-k3u1fbpfcp-zoom-1.image "21.png")

### 網格管理

-   **叢集管理**

可以透過簡單的接入叢集的能力，將已有的 K8s 叢集加入進來，加入進來後，可以透過網格管理中建立網格的能力，在對應的叢集中部署服務網格，建立網格時候可以配置閘道器、控制面 Istiod 的高可用能力、配置叢集中服務的 Sidecar 資源（也可以單獨配置）、是否開啟 AccessLog 日誌等能力。

![22.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/93c04c12fdf3498088ac935da944bf29~tplv-k3u1fbpfcp-zoom-1.image "22.png")

![23.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/82985fe328a44779b34b2a68a9c51f46~tplv-k3u1fbpfcp-zoom-1.image "23.png")

-   **網格配置管理**

建立好服務網格後需要對網格進行管理、配置，在高階選項中可以看到常見的配置，比如閘道器高可用、控制面高可用、閘道器的資源、控制面資源、服務訪問限制、可觀測等。

![24.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/43b2b94fa98544e78a5b48e752f9d7d6~tplv-k3u1fbpfcp-zoom-1.image "24.png")

除了這些外，還提供了服務網格對接註冊中心的能力，這裡我們支援了常見的 Nacos、Eureka、Zookeeper、Consul 註冊中心對接到服務網格中。

![25.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/4b134a23a6af417a8bd15bb6aa871329~tplv-k3u1fbpfcp-zoom-1.image "25.png")

-   **多叢集管理**

單叢集的可以滿足大部分使用者的要求，但是為了容災，多叢集的管理、互通也非常重要，服務網格的多叢集能力在社群版本中也支援，但是配置複雜，我們的產品中提供了一鍵管理多叢集的能力，透過多叢集配置-納管叢集的能力，輕鬆的實現多個叢集之間應用的互通、治理。

![26.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c57355e1369040f088cd647fee75df06~tplv-k3u1fbpfcp-zoom-1.image "26.png")

## 部署和輸出

我們支援透過阿里雲混合雲企業版輸出、CNStack 輸出，同時我們也支援獨立部署輸出，只需要一個 K8s 叢集，可以快速輕鬆拉起專有云服務網格的能力，體驗產品化的服務網格能力。

私有化輸出的服務網格我們是這樣做的

相關文章