envoy_envoy是什么意思_2

envoy_envoy是什么意思

       今天，我将与大家共同探讨envoy的今日更新，希望我的介绍能为有需要的朋友提供一些参考和建议。

1.K8S高可用之Sealos

2.2020-05-18Istio服务治理，K8S各个组件

3.使的英文是什么

4.求翻译英文：1.驻华使节苍南行 2.驻华使节苍南行活动。不要百度翻译上找这个不准备的

K8S高可用之Sealos

        Sealos 是一个 Go 语言开发的简单干净且轻量的 Kubernetes 集群部署工具， Sealos 能很好的支持在生产环境中部署高可用的 Kubernetes 集群。

        无论是通过 KeepAlived 还是 HAProxy 进行高可用集群调度都会存在以下一些劣势。

        Sealos 高可用实现是通过本地负载方式完成的。本地负载实现方式有多种，比如： IPVS 、 Envoy 、 Nginx 等，而 Sealos 用的是通过内核 IPVS 来实现的。

        本地负载：在每个 Node 节点上都启动一个负载均衡，同时监听集群中的多个 Master 节点。

        Sealos 选择通过内核 IPVS 来实现主要有以下几个原因：

        1）如果使用 Envoy 等需要在每个节点上都跑一个进程，消耗更多。虽然 IPVS 实际上也会多跑一个 lvscare 进程 ，但是 lvscare 只是负责管理 IPVS 规则，原理和 Kube-Proxy 类似。真正的流量直接从内核层面走，不需要把数据包先走到用户态中去处理。

        2）使用 Envoy 存在启动优先级的问题，比如：Join 集群时，如果负载均衡没有建立，Kubelet 就会启动失败。使用 IPVS 则不会存在这样的问题，因为我们可以在 Join 集群前先建立好转发规则。

        1）解决默认证书有效期只有一年的问题。

        2）更方便的实现本地负载。

        3）核心的功能均集成到 Kubeadm 中了，Sealos 只管分发和执行上层命令，相对就更轻量了。

        离线包包含所有二进制文件配置文件和镜像

        服务器用户名：root，服务器密码：123456

        升级系统内核

        修改Cgroup Driver

        设置hostname

        多master

        kubectl命令自动补全

        sealos默认已经帮我们安装命令补全功能。

2020-05-18Istio服务治理，K8S各个组件

       对于很多后端服务业务，我们都希望得到客户端 IP。云上的负载均衡器，比如，腾讯云 CLB 支持将客户端源IP传递到后端服务。但在使用 istio 的时候，由于 istio ingressgateway 以及 sidecar 的存在，后端服务如果需要获取客户端源 IP，特别是四层协议，情况会变得比较复杂。

        很多业务场景，我们都希望得到客户端 IP。云上负载均衡器，比如，腾讯云 CLB支持将客户端 IP 传递到后端服务。TKE/TCM 也对该能力做了很好的集成。

        但在使用 istio 的时候，由于中间链路上，istio ingressgateway 以及 sidecar 的存在，后端服务如果需要获取客户端 IP，特别是四层协议，情况会变得比较复杂。

        对于应用服务商来说，它只能看到 Envoy 过来的连接。

        先看看一些常见 Loadbalancer/Proxy 的源 IP 保持方法。我们的应用协议一般都是四层、或者七层协议。

        七层的客户端源 IP 保持方式比较简单，最具代表性的是 HTTP 头 XFF（X-Forwarded-For） ，XFF 保存原始客户端的源 IP，并透传到后端，应用可以解析 XFF 头，得到客户端的 IP。常见的七层代理组件，比如 Nginx、Haproxy，包括 Envoy 都支持该功能。

        IPVS/iptables 都支持 DNAT，客户端通过 VIP 访问 LB，请求报文到达 LB 时，LB 根据连接调度算法选择一个后端 Server，将报文的目标地址 VIP 改写成选定 Server 的地址，报文的目标端口改写成选定 Server 的相应端口，最后将修改后的报文发送给选出的 Server。由于 LB 在转发报文时，没有修改报文的来源 IP，所以，后端 Server 可以看到客户端的 IP。

        Nginx/Haproxy 支持透明代理( Transparent Proxy )。当开启该配置时，LB 与后端服务建立连接时，会将 socket 的源 IP 绑定为客户端的 IP 地址，这里依赖内核TPROXY以及 socket 的 IP_TRANSPARENT 选项。

        此外，上面两种方式，后端服务的响应必须经过 LB，再回到 Client，一般还需要策略路由的配合。

        TOA( TCP Option Address )是基于四层协议（TCP）获取真实源 IP 的方法，本质是将源 IP 地址插入 TCP 协议的 Options 字段。这需要内核安装对应的TOA内核模块。

        Proxy Protocol是 Haproxy 实现的一个四层源地址保留方案。它的原理特别简单，Proxy 在与后端 Server 建立 TCP 连接后，在发送实际应用数据之前，首先发送一个 Proxy Protocol 协议头(包括客户端源 IP/端口、目标IP/端口等信息)。这样，后端 server 通过解析协议头获取真实的客户端源 IP 地址。

        Proxy Protocol 需要 Proxy 和 Server 同时支持该协议。但它却可以实现跨多层中间代理保持源 IP。这有点类似七层 XFF 的设计思想。

        istio 中，由于 istio ingressgateway 以及 sidecar 的存在，应用要获取客户端源 IP 地址，会变得比较困难。但 Envoy 本身为了支持透明代理，它支持 Proxy Protocol ，再结合 TPROXY，我们可以在 istio 的服务中获取到源 IP。

        istio 东西向服务访问时，由于 Sidecar 的注入，所有进出服务的流量均被 Envoy 拦截代理，然后再由 Envoy 将请求转给应用。所以，应用收到的请求的源地址，是 Envoy 访问过来的地址 127.0.0.6 。

        可以看到，bin 看到的源 IP 是 127.0.0.6 。从 socket 信息，也可以确认这一点。

        我们修改 bin deployment，使用 TPROXY（注意 bin 的 IP 变成了 172.17.0.59 ）:

        可以看到，bin 可以得到 sleep 端的真实 IP。

        socket 的状态：

        第一行是 bin 的接收端 socket，第二行是 envoy 的发送端 socket。

        bin envoy 日志：

        可以看到，

        bin envoy 连接 bin 的 local address 为 sleep 的 IP 地址。

        对于南北向流量，客户端先请求 CLB，CLB 将请求转给 ingressgateway，再转到后端服务，由于中间多了 ingressgateway 一跳，想要获取客户端源 IP，变得更加困难。

        我们以 TCP 协议访问 bin:

        通过 ingressgateway 访问 bin：

        可以看到，bin 看到的地址是 ingressgateway 的地址：

        虽然我们在 bin envoy 开启了透明代理，但 ingressgateway 并不能把 client 的源地址传到 bin envoy 。基于 envoy 实现的 Proxy Protocol ，可以解决这个问题。

        通过 EnvoyFilter 在 ingressgateway 和 bin 同时开启 Proxy Protocol 支持。

        再次通过 LB 访问 bin:

        bin 得到了客户端的源 IP。

        可以看到，

        可以看到，

        值得注意的是， bin envoy 的 upstream_local_address 保留了客户端的 IP，这样，bin 看到的源地址 IP，就是客户端的真实 IP。

        TPROXY 的内核实现参考net/netfilter/xt_TPROXY.c。

        istio-iptables 会设置下面的 iptables 规则，给数据报文设置标记。

        值得一提的是，TPROXY 不用依赖 NAT，本身就可以实现数据包的重定向。另外，结合策略路由，将非本地的数据包通过本地 lo 路由:

        TPROXY 的更多详细介绍参考这里。

        这里使用了 Version 1(Human-readable header format) ，如下：

        可以看到，header 包括 client 和 ingressgateway 的 IP:PORT 信息。更加详细的介绍参考这里。

        ingressgateway 作为发送端，使用 ProxyProtocolUpstreamTransport ，构建 Proxy Protocol 头部:

        bin envoy 作为接收端，配置ListenerFilter( envoy.filters.listener.proxy_protocol )解析 Proxy Protocol 头部:

        这里值得注意的， envoy.filters.listener.proxy_protocol 在解析 proxy protocol header 时， local_address 为发送端的 dst_addr(172.17.0.54:8000) ， remote_address 为发送端的 src_addr(106.52.131.116) 。顺序刚好反过来了。

        经过 proxy_protocol 的处理，连接的 downstream_remote_address 被修改为client的源地址。

        对于 sidecar.istio.io/interceptionMode: TPROXY ， virtualInbound listener 会增加 envoy.filters.listener.original_src :

        envoy.filters.listener.original_src 通过 tcp option 实现修改 upstream_local_address 为 downstream_remote_address ，实现透传client IP。

        另外， httbin envoy 作为 ingressgateway 的接收端， virtualInbound listener 还配置了 ListenerFilter( envoy.filters.listener.original_dst )，来看看它的作用。

        对于 istio，由 iptable 截持原有 request，并转到15006(in request)，或者15001(out request)端口，所以，处理 request 的 socket 的 local address ，并不请求的 original dst address 。 original_dst ListenerFilter 负责将 socket 的 local address 改为 original dst address 。

        对于 virtualOutbound listener ，不会直接添加 envoy.filters.listener.original_dst ，而是将 use_original_dst 设置为 true，然后 envoy 会自动添加 envoy.filters.listener.original_dst 。同时， virtualOutbound listener 会将请求，转给请求原目的地址关联的 listener 进行处理。

        对于 virtualInbound listener ，会直接添加 envoy.filters.listener.original_dst 。与 virtualOutbound listener 不同的是，它只是将地址改为 original dst address ，而不会将请求转给对应的 listener 处理（对于入请求，并不存在 dst address 的 listener）。实际上，对于入请求是由 FilterChain 完成处理。

        参考 istio 生成 virtualInbound listener 的代码:

        基于 TPROXY 以及 Proxy Protocol，我们可以在 istio 中，实现四层协议的客户端源 IP 的保持。

        文章来自s://.blogs/tencent-cloud-native/p/16355019.html

使的英文是什么

        今日鸡汤：

        愿你能遇到了解你的人：）

        Istio流量治理的目标是什么？

        以基础设施的方式提供给用户非侵入的流量治理能力，用户只需要关注自己的业务逻辑开发，无须关注服务访问管理。

        Istio流量治理的方式是什么？

        在控制面：管理员通过命令或API创建流量规则，Pilot将该规则转换为Envoy标准形式后下发给Envoy。

        在数据面：Envoy拦截Pod本地容器的Inbound和Outbound流量，在流量经过Envoy时执行对应的流量规则，进行治理。

        服务发现和负载均衡的工作流程是什么？

        第一步，服务注册，各服务将服务名和服务实例注册到服务注册中心；

        第二步，服务发现，客户端发起服务访问时，从服务注册中心获取服务对应的实例；

        第三步，负载均衡，从实例列表中选择一个服务实例。

        Pilot将服务发现数据通过Envoy的标准接口发给数据面，Envoy根据配置的负载均衡策略选择一个实例转发请求。

        为什么需要服务熔断？

        防止网络和服务调用故障级联发生，限制故障的影响范围，防止故障蔓延导致系统整体性能下降或雪崩。

        在Istio中提供了连接池和故障实例隔离的能力。

        -连接池：在Istio中通过限制某个客户端对目标服务的连接数、访问请求数等，避免对一个服务的过量访问，如果超过配置阈值，则快速断路请求。

        -故障实例隔离：如果某个服务频繁超时或出错，则将该实例隔离。

        什么是故障注入？

        使用一种手段在待测试的系统中引入故障，从而测试其健壮性和应对故障的能力。

        灰度发布的场景？

        第一种，蓝绿发布。新版本部署在另一套独立的上，当可用时，直接将所有流量从老版本切换到新版本，当有问题时，快速切回老版本。

        第二种，AB测试。同时在线上部署A和B两个对等的版本来接受流量，收集反馈，最终决定用哪个版本。

        第三种，金丝雀发布。上线一个新版本，从老版本切一部分流量到新版本上来判定新版本在生产环境的实际表现，没有问题的话，逐步增加切换比例直到全部切换完成。

        Istio的服务访问入口是什么？

        在Istio中通过Gateway访问网格内的数据，也是一个Envoy，从Istio的控制面板接受配置，统一执行配置规则，Gateway一般为LoadBalancer类型的service。

        在Istio中怎么接入外部服务？

        通过一个ServiceEntry的对象将网格外的服务注册到网格上，然后像对网格内的普通服务一样对网格外的服务访问进行治理。

        推荐一篇文章： 换个角度入门K8S ，从业务演进的角度讲K8S的各个组件功能，总结一下：

        运行编排系统的服务器叫做master节点 ，运行业务容器的服务器叫做worker节点 。

        master节点上提供管理接口的组件叫kube apiserver 。

        与api server交互的客户端中，提供给集群运维管理员使用的叫做kubectl ，提供给worker节点使用的叫做kubelet 。

        运维人员可以通过kubelet向master发送命令，master收到请求后，根据集群中worker节点的信息进行调度，然后把创建指令下发到对应的worker上，负责调度的叫kube scheduler 。

        每个worker上的kubelet会周期性的上报节点和容器运行情况，然后master把数据存储到etcd 的开源系统中。

        为了与其他worker节点通信，每个worker节点需要有容器ip的路由转发信息，由一个专门负责监听并调整路由转发配置的组件来负责，叫kube proxy 。

求翻译英文：1.驻华使节苍南行 2.驻华使节苍南行活动。不要百度翻译上找这个不准备的

       使

       [动] send; tell sb. to do sth.; use; employ;

       [名] envoy; messenger; a surname;

       [连] （如） if; supposing;

       [例句]我们贮存的火柴使完了。

       Our stock of matches is used up.

       宣传讲，有五大洲20多个国家驻华使节和夫人来苍参加文化交流活动不是一个国家，所以：

       1.驻华使节苍南行== THE DIPLOMATIC CORPS VISITING CANGNAN

       如果是标语，横幅：WELCOME THE DIPLOMATIC CORPS VISITING CANGNAN

       2.驻华使节苍南行活动==CANGNAN VISIT OF THE DIPLOMATIC CORPS

       既然放在logo上，应该简短意概，最好全大写，选个庄重的字体。使节苍南行应是商务和外交政治性质的，visit更合适。Trelogue不太合适吧。

       Ambassador=大使，最高级别的外交代表

       Envoy=特使，或级别仅次于大使的外交代表

       Diplomat=总称，外交官，如大使

       the diplmatic corps=外交使节团（本国首都的所有外交使节）

       例如：英国驻希腊大使，= the British Ambassador to Agreece（自牛津现代高级英汉双解词典，3rd EDITION）

       希望有帮助啊

       今天关于“envoy”的讲解就到这里了。希望大家能够更深入地了解这个主题，并从我的回答中找到需要的信息。如果您有任何问题或需要进一步的信息，请随时告诉我。