在 sidecar 模式下使用 Kubernetes Gateway API 通过网关路由出口流量

本节介绍如何使用 Kubernetes Gateway API，通过出口网关路由出站 HTTP 流量。

前提条件

已安装 Alauda Service Mesh v2 Operator。
已部署 Istio 控制平面。
已安装 Gateway API CRD。
确认 Linux 内核兼容性。

操作步骤

使用以下命令创建名为 egress-gateway 的命名空间：

kubectl create namespace egress-gateway
kubectl label namespace egress-gateway pod-security.kubernetes.io/enforce=restricted --overwrite

将 istio 网关类 overlay 添加到 Istio 资源，以便将网关 pod 准入 Restricted egress-gateway 命名空间：

kubectl patch istio default --type=merge -p '{"spec":{"values":{"gatewayClasses":{"istio":{"deployment":{"spec":{"template":{"spec":{"securityContext":{"seccompProfile":{"type":"RuntimeDefault"}}}}}}}}}}}'

如需了解更多信息，请参阅 Pod Security Admission。

创建名为 egress-gateway-cr.yaml 的 YAML 文件，用于定义出口网关。

出口网关 CR 文件示例

# ServiceEntry to allow traffic to httpbingo.org
apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: httpbin-ext
spec:
  hosts:
    - httpbingo.org
  ports:
    - number: 80
      name: http
      protocol: HTTP
  location: MESH_EXTERNAL
  resolution: DNS
---
# Gateway API Gateway for egress
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-egress-gateway
  annotations:
    networking.istio.io/service-type: ClusterIP
  labels:
    # Specify the Istio revision name; defaults to 'default'
    istio.io/rev: default
spec:
  gatewayClassName: istio
  listeners:
    - name: http
      hostname: httpbingo.org
      port: 80
      protocol: HTTP
      allowedRoutes:
        namespaces:
          from: All
---
# HTTPRoute to direct traffic from sidecars to the egress gateway
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: direct-httpbin-to-egress-gateway
spec:
  parentRefs:
    - kind: ServiceEntry
      group: networking.istio.io
      name: httpbin-ext
  rules:
    - backendRefs:
        - name: httpbin-egress-gateway-istio
          port: 80
---
# HTTPRoute to forward traffic from the egress gateway to httpbingo.org
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: forward-httpbin-from-egress-gateway
spec:
  parentRefs:
    - name: httpbin-egress-gateway
  hostnames:
    - httpbingo.org
  rules:
    - backendRefs:
        - kind: Hostname
          group: networking.istio.io
          name: httpbingo.org
          port: 80

执行以下命令应用此 YAML 文件：

kubectl -n egress-gateway apply -f egress-gateway-cr.yaml

运行以下命令检查网关配置的状态：

kubectl -n egress-gateway get gtw httpbin-egress-gateway

当 PROGRAMMED 列中的值为 True 时，即表示已确认达到期望状态。

输出示例

NAME                     CLASS   ADDRESS                                                         PROGRAMMED   AGE
httpbin-egress-gateway   istio   httpbin-egress-gateway-istio.egress-gateway.svc.cluster.local   True         68s

可选：将网关部署到 Infra Nodes：

单击展开

前提条件

Alauda Container Platform 4.2.0 或更高版本，或者将 Gateway API CRD 升级到最新版本。

a. 在计划部署 Gateway 的同一命名空间中创建名为 asm-kube-gateway-options 的 ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: asm-kube-gateway-options
  namespace: egress-gateway
data:
  deployment: |
    spec:
      template:
        spec:
          nodeSelector:
            node-role.kubernetes.io/infra: ""
          tolerations:
            - effect: NoSchedule
              key: node-role.kubernetes.io/infra
              value: reserved
              operator: Equal

指定 configmap 的名称。
指定与网关相同的 configmap 命名空间。
设置节点选择器和容忍度，以便将网关 pod 调度到 Infra Nodes。

b. 通过添加 infrastructure.parametersRef 字段，在 Gateway 资源中引用 ConfigMap：

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-egress-gateway
  namespace: egress-gateway
spec:
  # Add the following infrastructure configuration to your Gateway CR
  infrastructure:
    parametersRef:
      group: ""
      kind: ConfigMap
      name: asm-kube-gateway-options
  # ... rest of your Gateway configuration

指定网关的名称。
指定网关的命名空间。

验证

执行以下命令创建名为 curl 的命名空间：

kubectl create namespace curl
kubectl label namespace curl pod-security.kubernetes.io/enforce=restricted --overwrite

为命名空间启用 sidecar 注入。如果您的设置使用 InPlace 升级策略，请运行以下命令：

kubectl label namespace curl istio-injection=enabled

NOTE

如果您使用 RevisionBased 升级策略，请执行以下命令：

要查找您的 <revision-name>，请运行以下命令：

kubectl get istiorevisions.sailoperator.io

输出示例：

NAME      NAMESPACE      PROFILE   READY   STATUS    IN USE   VERSION   AGE
default   istio-system             True    Healthy   True     v1.30.4   47h

使用 revision 名称为命名空间添加标签，以启用 sidecar 注入：
kubectl label namespace curl istio.io/rev=default

运行以下命令部署 curl 应用：

kubectl apply -n curl -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/curl/curl.yaml

初始化并导出包含 curl pod 名称的 CURL_POD 环境变量：

export CURL_POD=$(kubectl get pod -n curl -l app=curl -o jsonpath='{.items[0].metadata.name}')
echo "CURL_POD=$CURL_POD"

使用 curl 客户端，输入以下命令确认可以通过出口网关访问 httpbingo.org：

kubectl exec "$CURL_POD" -n curl -c curl -- curl -sS -v http://httpbingo.org/get

期望的输出将显示来自 httpbingo.org 的响应，这表示出口流量正通过配置的网关进行路由。

输出示例

...
{
  "headers": {
    "Host": "httpbingo.org",
    "User-Agent": "curl/8.15.0",
    "X-Envoy-Peer-Metadata-Id": "router~10.3.0.58~httpbin-egress-gateway-istio-7db8cbfc64-72g85.egress-gateway~egress-gateway.svc.cluster.local"
    ...
  },
  "url": "http://httpbingo.org/get"
}
< HTTP/1.1 200 OK
< server: envoy
...

清理

移除此操作步骤中创建的资源：

kubectl delete namespace curl
kubectl delete namespace egress-gateway

#在 sidecar 模式下使用 Kubernetes Gateway API 通过网关路由出口流量

#目录

#前提条件

#操作步骤

#验证

#清理

在 sidecar 模式下使用 Kubernetes Gateway API 通过网关路由出口流量

目录

前提条件

操作步骤

验证

清理