ToB企服应用市场:ToB评测及商务社交产业平台

标题: ELB Ingress网关助力云原生应用轻松管理流量 [打印本页]
作者: 来自云龙湖轮廓分明的月亮    时间: 2024-7-9 09:34
标题: ELB Ingress网关助力云原生应用轻松管理流量
本文分享自华为云社区《ELB Ingress网关助力云原生应用轻松管理流量》，作者：云容器大将来。
背景

通常情况下，K8s集群的容器网络平面和外部网络是隔离的，外部网络无法直接访问到集群内部的容器业务，如何为容器提供并管理统一的外部流量入口?社区提供的常见方式是使用Nodeport Service，Loadbalancer Service，Ingress等K8s资源对象来暴露集群内部的容器原生应用。Service对象提供了四层负载均衡能力，Ingress对象则提供了面向应用层访问（HTTP/HTTPS等）的七层负载均衡能力。
而随着云原生架构在企业内的普遍落地，容器作为云原生微服务应用的载体，需要面对更多挑战，如面对微服务的复杂组网，业务请求在云服务之间转发每每需要做源地址转换而导致流量分发损耗；游戏类、电商抢购类等业务在短时间内会举行频仍扩缩容，必须应对高并发的网络流量；网关入口流量应对互联网的安全攻击，如灰产、异常流量，需提供流量安全防护能力；此外，支持更加复杂的路由规则配置、多种应用层协议（HTTP、HTTPS、GRPC等）、应用蓝绿发布、流量可观测性等七层高级转发能力也逐渐成为了云原生应用的普遍诉求。Ingress Nginx，Ingress Kong，Traefik等开源社区方案固然提供了丰富的七层流量治理功能， 但对于关键生财产务上云，企业在选择Ingress方案时,除了考虑功能性,还需要充分权衡安全性、可维护性和可靠性等方面的需求，以找到最佳均衡点。专业的云服务提供商提供托管的Ingress解决方案，能够较好的应对这些挑战。
华为云CCE服务提供了基于应用型负载均衡ELB（Elastic Load Balance）的全托管免运维的企业级 Ingress 流量治理，让用户轻松应对云原生应用流量管理。
ELB Ingress 介绍

在K8s集群中，容器网络平面通常是独立于集群主机网络的一个隔离的网络平面，工作负载在滚动升级或者重新调度后容器的地址会有厘革，这就带来一个问题：如何实现某组Pod的服务发现，并提供固定的外部访问入口？Service和Ingress对象就是K8s中实现集群内外应用统一访问入口的一种机制。
K8s社区对集群外部的流量暴露提供了三种方式：Nodeport Service、Loadbalancer Service、Ingress，前两者Service对象重要提供集群四层流量入口，Ingres对象提供七层流量治理能力。两者相互配合，共同实现K8s集群应用的对外访问机制。如下图一所示，客户端通过Ingress管理的负载均衡器，访问Ingress说明的路由，由负载均衡器将流量经事后端Service导入至后端容器。

图一：Ingress示例
ELB Ingress是华为云CCE服务提供的七层流量治理功能，基于社区尺度Ingress API实现，提供高可用、高性能、高安全、多协议的全托管免运维负载均衡能力。同时具备弹性能力，在流量突发时支持快速扩展盘算资源，支持千万级并发连接，百万级新建连接，是云原生应用流量治理的理想选择。
ELB Ingress工作原理

ELB Ingress部署于CCE集群的master节点上，与ELB实例对接，可将Ingress说明的容器后端地址、转发策略、路由等信息配置至ELB实例，而且支持动态更新。
图二是基于Nodeport中转的ELB Ingress工作流图，CCE Standard集群使用该方案的原理如下：

图二: Nodeport中转的ELB Ingress流程图
该方案中流量经过节点、IPTables/IPVS规则多次转发，网络性能存在损耗。在大流量场景下，网络转发服从、网络连通速率的挑战尤为突出。为此，我们推出了基于CCE Turbo集群的网络加速方案：容器直接使用VPC网络实现直通容器的ELB Ingress，将原有的“容器网络 + 虚拟机网络“两层模型简化为一层。如图三所示，集群中的Pod IP直接从VPC中分配，支持北向ELB直通容器，外部流量可以不经过节点端口转发直接访问集群中的Pod，到达流量分发零损耗的效果。

图三:容器网络直通的ELB Ingress流程图
ELB Ingress流量治理焦点优势

ELB Ingress基于原生Kubernetes Ingress，通过声明式API指定Ingress的路由、对接的后端服务，或者通过Annotation配置监听侧的高级选项，由体系保证最终一致性。ELB Ingress为开发者和运维人员提供了极大的开发机动性和维护便利性，其焦点优势包罗：
ELB Ingress搭配独享型ELB实例，最高支持2千万并发连接；通过完善的健康检查机制，保障业务实时在线，支持多可用区的同城双活容灾，无缝实时切换；弹性规格ELB实例支持根据流量负载自动弹性扩缩实例规格，实用于业务用量颠簸较大的场景，比方游戏、视频等行业，能满意瞬时流量同时成本最小化。
ELB Ingress提供了端到端的全链路安全策略，如下图四是外部流量经过ELB访问CCE Turbo集群的简单示例：在访问端可配置接入WAF引擎检测并拦截恶意攻击流量，而正常流量转发至后端云服务器。通过Ingress的Annotation配置可轻松为ELB实例配置自定义安全策略，比方设置黑白名单，双向认证等。从ELB转发至后端也支持HTTPS加密信道，进一步增强整体安全性。

图四: 外部流量访问CCE Turbo安全示例
完全兼容社区Ingress语义，从开源Nginx Ingress等方案迁移过来仅需改造annotation即可轻松适配。
云监控可以按时间轴检察ELB的网络流量和访问日志，动态分析并告警潜在风险；云审计可以实时监控ELB资源更新日志，针对风险动作实时告警，动态监控云上资源安全；Ingress Controller也支持丰富的普罗监控指标，如接口调用时延，reload次数等。
ELB Ingress组件运行在集群的Master节点，用户无需关注运维问题，组件在集群升级时会自动更新，且对业务无感。
ELB Ingress流量治理焦点功能

在社区底子功能之上，华为云ELB Ingress在负载均衡、路由规则、流量控制、安全性和可观测性等方面都有较大增强，满意了更复杂的生产环境需求。下面介绍ELB Ingress流量治理焦点功能：
灰度发布是业界常用的版本升级平滑过渡的一种方式。在版本升级时，先让部门用户使用新版本，其他用户继承使用老版本。待新版本稳定后，再渐渐扩大新版本的使用范围，直到所有用户流量都迁移到新版本上。这样可以最大限度地控制新版本发布带来的业务风险，降低故障影响范围，同时支持快速回滚。
我们提供了基于Header/Cookie/Weight的灰度发布策略，前两种策略通过将用户分成多少组，在不同的时间段内渐渐引入新版本，最终扩大新版本的影响范围；基于Weight的策略则是通过控制新版本的权重，在不同时间段内渐渐增加新版本的流量比例，直到完全更换旧版本。

随着云原生应用组网的日益复杂，传统的基于路由转发的七层流量治理已经难以满意需求。我们提供的高级转发策略可以很好地解决传统方案面临的局限性：

在应用滚动升级时，ELB Ingress会自动更新负载均衡器后端，而且根据后端容器实例副本数自动设置后端权重。但是，在后端健康检查通事后的上线过程中，大概面临流量突增，导致后端容器的CPU或内存资源瞬间高负荷，从而影响业务稳定性。在开启慢启动模式后，体系可以在指定时间内，渐渐将流量导入到目标容器后端。这样可以缓解业务容器突增的流量压力，保护体系免受过度负载的影响，实现优雅过渡。
小结

华为云CCE服务的ELB Ingress基于华为云应用型负载均衡ELB（Elastic Load Balance）提供强盛的Ingress流量管理能力，兼容Nginx Ingress，具备处理复杂业务路由和证书自动发现的能力，支持HTTP、HTTPS和GRPC等协议，满意在云原生应用场景下对超强弹性和大规模七层流量处理能力的需求。
后续我们还将发布系列文章，具体介绍基于ELB Ingress的流量管理最佳实践，欢迎各位读者继承关注。
相干链接：
点击关注，第一时间了解华为云奇怪技术~
 

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4