istio includeIPRanges includeOut

概述

在安装和使用 istio 的过程中，接触到了 includeIPRanges 和 includeOutboundIPRanges 两个概念
分享、记录一下坑和对其的认识
只是对一些经验的分享，不涉及具体概念和原理哦

includeIPRanges

这个是一个安装参数，全称是 global.proxy.includeIPRanges
默认值是 *

默认值的意思是说，Envoy 对所有的请求进行劫持
此时，部署在istio里的服务是无法访问外部服务的，必须要配置 ServiceEntry 之类的才可以

如果在安装的时候，把集群ip设置到这个值，那么就可以阻止Envoy 对外部请求的劫持
也就实现了随意访问外部服务的功能，如果你需要的话

详见 中文文档

includeOutboundIPRanges

这个是一个 ConfigMap 注解参数，全称是 traffic.sidecar.istio.io/includeOutboundIPRanges

查看命令是
kubectl get cm -n istio-system istio-sidecar-injector -o yaml

作用是 集群内服务间调用 流量策略 (大概是这么个意思，具体的也不是很懂)

• traffic.sidecar.istio.io/includeOutboundIPRanges
  这个是阻止ip范围
  (不允许这个范围内的pod/服务进行服务调用)
• traffic.sidecar.istio.io/excludeOutboundIPRanges
  这个是放行ip范围

这里没有配置好的时候，会发生服务间无法调用的问题，当用curl 测试的时候，会报
curl: (56) Recv failure: Connection reset by peer

如以下命令

[root@izwz9xxxxxx]# kubectl -n backend exec -it $(kubectl -n backend get pod -l app=sleep -o jsonpath='{.items[0].metadata.name}') -c sleep -- curl -v  proxy-b.backend:8080/
*   Trying 172.23.8.120...
* TCP_NODELAY set
* Connected to proxy-b.backend (172.23.8.120) port 8080 (#0)
> GET / HTTP/1.1
> Host: proxy-b.backend:8080
> User-Agent: curl/7.60.0
> Accept: */*
>
* Recv failure: Connection reset by peer
* stopped the pause stream!
* Closing connection 0
curl: (56) Recv failure: Connection reset by peer
command terminated with exit code 56  

一般来说，没有特殊需求的时候，
includeOutboundIPRanges 这个可以设置为空 ""
excludeOutboundIPRanges 这个可以设置为所有 "*" ，也可以把pod ip地址和service ip地址填进去

image.png

上图是我们自己集群的配置
那么 excludeOutboundIPRanges 可以设置为 172.22.0.0/16,172.23.0.0/20

注意
修改这个配置之后，
首先需要重启 istio-sidecar-injector这个pod
然后重启你自己的pod

重启完成之后再验证一下

[root@izwz98xxxxx]# kubectl -n backend exec -it $(kubectl -n backend get pod -l app=sleep -o jsonpath='{.items[0].metadata.name}') -c sleep -- curl -v  proxy-b.backend:8080/
*   Trying 172.23.8.120...
* TCP_NODELAY set
* Connected to proxy-b.backend (172.23.8.120) port 8080 (#0)
> GET / HTTP/1.1
> Host: proxy-b.backend:8080
> User-Agent: curl/7.60.0
> Accept: */*
>
< HTTP/1.1 200 OK
< content-type: application/json; charset=utf-8
< date: Wed, 26 Jun 2019 04:40:25 GMT
< content-length: 38
< x-envoy-upstream-service-time: 135
< server: istio-envoy
< x-envoy-decorator-operation: proxy-b.backend.svc.cluster.local:8080/*
<
{"message":"proxy is ok","type":"ok"}
* Connection #0 to host proxy-b.backend left intact