一张图快速了解 Istio 的 EnvoyFilter

喜欢ヅ旅行 2023-09-28 15:09 144阅读 0赞

## EnvoyFilter简介 ##

EnvoyFilter 提供了一种机制来定制 Istio Pilot 生成的 Envoy 配置。使用 EnvoyFilter 修改某些字段的值，添加特定的过滤器，甚至添加全新的侦听器、集群等等。

这个功能必须谨慎使用，因为不正确的配置可能会破坏整个网格的稳定性。与其他 Istio 网络对象不同，EnvoyFilter 是叠加应用的。对于特定命名空间中的特定工作负载，可以存在任意数量的 EnvoyFilter。

这些 EnvoyFilter 被应用的顺序是：首先是配置在根命名空间中的所有 EnvoyFilter，其次是配置在工作负载命名空间中的所有匹配的 EnvoyFilter。

EnvoyFilter 的某些方面和 Istio 网络子系统的内部实现以及 Envoy 的 xDS API 有很深的联系。虽然 EnvoyFilter 本身将保持向后兼容性，但是在 Istio 版本升级过程中，通过该机制提供的任何 Envoy 配置都应该被仔细检查，以确保废弃的字段被适当地删除和替换。

当多个 EnvoyFilter 被绑定到给定命名空间中的相同工作负载时，将按照创建时间的顺序依次应用。如果有多个 EnvoyFilter 配置相互冲突，那么将无法确定哪个配置被应用。

要将 EnvoyFilter 资源应用于系统中的所有工作负载（sidecar 和 gateway）上，请在 config 根命名空间中定义该资源，不要使用 workloadSelector。

要将 EnvoyFilter 应用到系统中的所有工作负载（ sidecar 和网关）的时候，建议在配置根命名空间中定义，而不要使用 workloadSelector 。

## EnvoyFilter配置 ##

<table> 
 <thead> 
  <tr> 
   <th align="center">属性</th> 
   <th align="left">数据类型</th> 
   <th align="left">说明</th> 
   <th align="center">是否必填</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center">workloadSelector</td> 
   <td align="left">WorkloadSelector</td> 
   <td align="left">用于选择应用此补丁的pod或虚拟机</td> 
   <td align="center">否</td> 
  </tr> 
  <tr> 
   <td align="center">configPatches</td> 
   <td align="left">EnvoyConfigObjectPatch[]</td> 
   <td align="left">具有匹配条件的补丁</td> 
   <td align="center">是</td> 
  </tr> 
  <tr> 
   <td align="center">priority</td> 
   <td align="left">int32</td> 
   <td align="left">定义了补丁集在上下文中应用顺序的优先级</td> 
   <td align="center">否</td> 
  </tr> 
 </tbody> 
</table>

其中，如果 `workloadSelector` 没有被配置，此补丁将应用于相同名称空间中所有工作负载的实例； `priority` 的默认值为0，取值范围是\[min-int32, max-int32\]， `priority` 为负的补丁将在默认`priority` 之前处理，`priority` 为正的补丁将在默认`priority` 之后处理。

### EnvoyConfigObjectPatch配置 ###

<table> 
 <thead> 
  <tr> 
   <th align="center">属性</th> 
   <th align="left">数据类型</th> 
   <th align="left">说明</th> 
   <th align="center">是否必填</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center">applyTo</td> 
   <td align="left">ApplyTo</td> 
   <td align="left">指定在Envoy配置中应用补丁的位置</td> 
   <td align="center">否</td> 
  </tr> 
  <tr> 
   <td align="center">match</td> 
   <td align="left">EnvoyConfigObjectMatch</td> 
   <td align="left">用于匹配监听器、路由或集群</td> 
   <td align="center">否</td> 
  </tr> 
  <tr> 
   <td align="center">patch</td> 
   <td align="left">Patch</td> 
   <td align="left">与操作一起应用的补丁。</td> 
   <td align="center">否</td> 
  </tr> 
 </tbody> 
</table>

其中，`ApplyTo`可以配置的值有：

<table> 
 <thead> 
  <tr> 
   <th align="center">名称</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center">LISTENER</td> 
   <td align="left">将补丁应用于监听器。</td> 
  </tr> 
  <tr> 
   <td align="center">FILTER_CHAIN</td> 
   <td align="left">将补丁应用于过滤器链。</td> 
  </tr> 
  <tr> 
   <td align="center">NETWORK_FILTER</td> 
   <td align="left">应用补丁到网络过滤器链，修改现有的过滤器或添加一个新的过滤器。</td> 
  </tr> 
  <tr> 
   <td align="center">HTTP_FILTER</td> 
   <td align="left">将补丁应用于HTTP连接管理器中的HTTP过滤器链，以修改现有的过滤器或添加新的过滤器。</td> 
  </tr> 
  <tr> 
   <td align="center">ROUTE_CONFIGURATION</td> 
   <td align="left">将补丁应用于HTTP连接管理器内的Route配置。</td> 
  </tr> 
  <tr> 
   <td align="center">VIRTUAL_HOST</td> 
   <td align="left">将补丁应用于路由配置内部的虚拟主机。</td> 
  </tr> 
  <tr> 
   <td align="center">HTTP_ROUTE</td> 
   <td align="left">在路由配置中将补丁应用于匹配的虚拟主机内的路由对象。</td> 
  </tr> 
  <tr> 
   <td align="center">CLUSTER</td> 
   <td align="left">将补丁应用到集群。</td> 
  </tr> 
  <tr> 
   <td align="center">EXTENSION_CONFIG</td> 
   <td align="left">在ECDS输出中应用补丁或添加扩展配置。</td> 
  </tr> 
  <tr> 
   <td align="center">BOOTSTRAP</td> 
   <td align="left">将补丁应用于初始化配置。</td> 
  </tr> 
 </tbody> 
</table>

更多配置详见如下思维导图：

## 思维导图 ##

![EnvoyFilter@万猫学社][EnvoyFilter]

[EnvoyFilter]: https://img-blog.csdnimg.cn/img_convert/02321b8977a229a85e4669ee3303e9cf.jpeg#pic_center