CN112910692B - 基于微服务网关的服务网格流量控制方法、系统和介质 - Google Patents

Abstract

本公开涉及一种基于微服务网关的服务网格流量控制方法、系统和介质。其中方法包括：步骤S1、部署服务网格和微服务网关；步骤S2、设置应用服务的规则，所述规则用于各个所述应用服务之间的流量控制；以及步骤S3、通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务，并控制所述服务网格的流量。该方法将企业现有服务接入服务网格，满足企业网关的规范要求，无需对原生网关进行二次开发，减少网关开发与维护成本，支持服务网格的在企业的落地实践。

Description

基于微服务网关的服务网格流量控制方法、系统和介质

技术领域

本公开涉及流量控制领域，更具体地，涉及一种基于微服务网关的服务网格流量控制方法、系统和介质。

背景技术

服务网格用于处理服务间通讯的基础设施层。负责保证应用程序在复杂服务拓扑网格中可靠地交付请求。服务网格以轻量级网络代理阵列的形式实现，通过代理(sidecar)来屏蔽分布式系统应用之间通信的复杂性，包括：服务路由、负载均衡、监控等功能。Istio是一种开源的服务网格实现。

微服务网关是将业务系统内部的多个微服务进行封装，对外提供统一访问入口，并制定接口规范，使对外提供服务的接口具有统一规范；进出集群的所有请求都需经过网关，做到跨集群请求的统一管理和监控；支持热部署的过滤器框架，以满足对统一的处理逻辑在网关上进行实现。并且网关提供对接入服务的安全认证、请求鉴权、支持多种通讯协议和报文格式等功能。

南北向流量是集群外部和集群内部之间交互的流量，包括：集群外部客户端访问集群内部服务、集群内部服务访问集群外部服务。

目前，服务网格Istio通过在集群边缘部署Ingress/Egress Gateway来控制集群的南北流量，通过内部Gateway资源和Virtual Service资源协同工作实现网格内南北流量的管理。

图1示出了服务网格Istio的南北流量管理流程的示意图。

如图1所示，在Istio中部署应用服务Server-A、Server-B、Server-C三个服务，每个服务包括一个sidecar代理进程；在Istio中部署Ingress/Egress Gateway，IngressGateway管理进入集群的流量，Egress Gateway管理从集群出的流量；Ingress/EgressGateway的流量管理配置，通过使用Istio内部Gateway资源与Virtual Service资源相结合的方式进行配置。部署完应用服务及对应的南北流量管理配置后，即可通过网关请求内部服务或调用外问服务。对于集群外部的用户调用Server-A，直接访问Ingress Gateway来请求Server-A。Ingress Gateway网关通过路由及处理逻辑后，将请求转发到对应的服务实例上。对于访问集群外部的服务，Server-C直接访问Egress Gateway来访问外部服务。

然而，服务网格Istio提供的Ingress/Egress Gateway的解决方案，可以满足大部分项目对于南北流量的管理需求，特别是对于全新建设的项目。但现实中企业包含许多旧系统，并且这些旧系统短时间内无法进行重构。原生的Ingress/Egress Gateway无法满足企业系统的需求，特别是有些旧系统使用私有通讯协议，并且企业有些自定义特殊逻辑需要在网关处理。因此当前Istio方案无法支持企业内特殊的私有协议及内部自定义逻辑，例如：多协议支持、协议转换、认证授权、功能个性化定制等，无法实现服务网格在企业内的快速落地实践。为了服务网格在企业内的落地，网关的功能增强成为需要解决的问题。但Istio原生网关使用Envoy实现，技术栈为C++，企业主要技术栈为java，导致Envoy功能扩展成本较高，并且会导致网关无法简单的跟随社区版本进行更新升级。

发明内容

提供了本公开以解决现有技术中存在的上述问题。

公开了一种基于微服务网关的服务网格流量控制方案，其将微服务网关与sidecar配合使用，作为企业内部服务网格的网关，可将企业现有服务接入服务网格，并满足企业网关的规范要求，无需对原生网关进行二次开发，减少网关开发与维护成本，支持服务网格的在企业的落地实践。

根据本公开的第一方面，提供了一种基于微服务网关的服务网格流量控制方法。所述方法包括：步骤S1、部署服务网格和微服务网关；步骤S2、设置应用服务的规则，所述规则用于各个所述应用服务之间的流量控制；以及步骤S3、通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务，并控制所述服务网格的流量。

具体地，在所述步骤S1中，设置所述微服务网关的Kubernetes注解为sidecar.istio.io/inject:"true"，以部署所述微服务网关的代理。

具体地，在所述步骤S2中，所述应用服务server的规则包括所述Kubernetes的内部服务、所述服务网格的路由规则以及目标规则中的一个或多个。

具体地，在步骤S3中，通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务时，所述微服务网关对所述请求执行自定义逻辑，并通过协议转换后将所属权请求经由所述代理路由给所述应用服务。

根据本公开的第二方面，提供了一种基于微服务网关的服务网格流量控制系统。所述系统包括：部署模块，被配置为，部署服务网格和微服务网关；设置模块，被配置为，设置应用服务的规则，所述规则用于各个所述应用服务之间的流量控制；以及控制模块，被配置为，通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务，并控制所述服务网格的流量。

具体地，所述部署模块进一步被配置为，设置所述微服务网关的Kubernetes注解为sidecar.istio.io/inject:"true"，以部署所述微服务网关的代理。

具体地，所述设置模块进一步被配置为，所述应用服务server的规则包括所述Kubernetes的内部服务、所述服务网格的路由规则以及目标规则中的一个或多个。

具体地，所述控制模块进一步被配置为，通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务时，所述微服务网关对所述请求执行自定义逻辑，并通过协议转换后将所属权请求经由所述代理路由给所述应用服务。

根据本公开的第三方面，一种存储有指令的非暂时性计算机可读介质，当所述指令由处理器执行时，执行根据本公开第一方面中任一项所述的基于微服务网关的服务网格流量控制方法中的步骤。

综上，本公开的技术方案将企业现有服务接入服务网格Istio，满足企业网关的规范要求，无需对原生网关进行二次开发，减少网关开发与维护成本，支持服务网格的在企业的落地实践。

附图说明

在不一定按比例绘制的附图中，相同的附图标记可以在不同的视图中描述相似的部件。具有字母后缀或不同字母后缀的相同附图标记可以表示相似部件的不同实例。附图大体上通过举例而不是限制的方式示出各种实施例，并且与说明书以及权利要求书一起用于对所公开的实施例进行说明。在适当的时候，在所有附图中使用相同的附图标记指代同一或相似的部分。这样的实施例是例证性的，而并非旨在作为本装置或方法的穷尽或排他实施例。

图1示出了根据本公开比较例的服务网格Istio的南北流量管理流程的示意图；

图2示出了根据本公开实施例的基于微服务网关的服务网格流量控制方法的流程图；

图3示出了根据本公开实施例的基于微服务网关的服务网格的结构图；

图4示出了根据本发明实施例的微服务网关gateway请求处理的流程图；以及

图5示出了根据本公开实施例的基于微服务网关的服务网格流量控制系统的结构图。

具体实施方式

为使本领域技术人员更好的理解本公开的技术方案，下面结合附图和具体实施方式对本公开作详细说明。下面结合附图和具体实施例对本公开的实施例作进一步详细描述，但不作为对本公开的限定。本文中所描述的各个步骤，如果彼此之间没有前后关系的必要性，则本文中作为示例对其进行描述的次序不应视为限制，本领域技术人员应知道可以对其进行顺序调整，只要不破坏其彼此之间的逻辑性导致整个流程无法实现即可。

下面将结合附图详细说明根据本公开实施例的基于微服务网关的服务网格流量控制方案。

图2示出了根据本公开实施例的基于微服务网关的服务网格流量控制方法的流程图。如图2所示，在步骤S1，部署服务网格Istio和微服务网关gateway。具体地，设置所述微服务网关gateway的Kubernetes注解为sidecar.istio.io/inject:"true"，以部署所述微服务网关gateway的代理sidecar。首先，在容器云集群中部署服务网格Istio，包括：控制平面pilot、监控等组件，并配置代理sidecar的镜像地址。随后，利用企业的容器云平台或YAML配置文件部署微服务网关gateway，并设置微服务网关Kubernetes注解为sidecar.istio.io/inject:"true"，实现微服务网关对应sidecar的部署，具体部署的架构如图3所示，图3示出了根据本公开实施例的基于微服务网关的服务网格的结构图。在网关管理平台配置业务的接入与接出协议、认证鉴权、自定义逻辑等。

在步骤S2，设置应用服务server的规则，所述规则用于各个所述应用服务server之间的流量控制。具体地，所述应用服务server的规则包括所述Kubernetes的内部服务(即Service规则)、所述服务网格的路由规则(即Virtual Service规则)以及目标规则(即Destination规则)中的一个或多个。以应用服务A、B、C为例，如图3所示，部署应用服务Server-A、Server-B、Server-C；并且对各个应用服务配置对应的Service、VirtualService、Destination Rule等规则，用于服务间的流量控制。

在步骤S3，通过所述微服务网关gateway请求所述服务网格Istio的内部服务或调用所述服务网格Istio的外部服务，并控制所述服务网格Istio的流量。具体地，通过所述微服务网关gateway请求所述服务网格Istio的内部服务或调用所述服务网格Istio的外部服务时，所述微服务网关gateway对所述请求执行自定义逻辑，并通过协议转换后将所属权请求经由所述代理sidecar路由给所述应用服务server。在通过网关请求内部服务或调用外问服务时，对于集群外部的用户调用Server-A，直接访问微服务网关gateway，gateway对请求执行自定义逻辑，并进行协议转换后，将请求通过sidecar路由给Server-A实例。对于访问集群外部的服务，Server-C直接访问gateway来访问外部服务。

图4示出了根据本发明实施例的微服务网关gateway请求处理的流程图。如图4所示，从接到请求到返回结果，大体可分为三个阶段：Prepare阶段、Invoke阶段、ending阶段；每个阶段通过不同的过滤器组合来协同完成整个请求过程。其中在准备阶段中，服务识别过滤器会首先会根据端口区分协议类型，将请求识别为网关定义的“上下文”后交给后续过滤器。协议解析过滤器会根据服务识别过滤器处理后的“上下文”，对请求进行解析，将请求拆分为“请求头”、“请求体”两部分，交给后续过滤器。自定义过滤器的特性是可以通过配置中心的下发进行热更新，从而适应各种需求，比如：token认证、黑白名单、请求脱敏、添加自定义报文头等。准备阶段过滤器结束，请求进入调用阶段中。在调用阶段中，通讯模块会根据不同通讯协议的配置，创建不同的协议代理器。协议代理器会创建不同的协议客户端代理，从“上下文”中获取路由信息，从注册中心或静态地址中获得目标服务ip地址，并创建连接，发送请求，接收响应，将响应存入“上下文”传递给结束阶段。在结束阶段中，协议转换过滤器从调用阶段获得“上下文”，将调用阶段协议转换为源服务通讯协议，交给后续过滤器。结束阶段的自定义过滤器和准备阶段的自定义过滤器意义类似，适应各种需求和回收准备阶段自定义过滤器的某些数据，比如：删除响应报文头、限流令牌回收、脱敏响应数据等。

综上，本公开第一方面的方法将微服务网关与sidecar配合使用，作为企业内部服务网格的网关，可将企业现有服务接入服务网格，并满足企业网关的规范要求，无需对原生网关进行二次开发，减少网关开发与维护成本，支持服务网格的在企业的落地实践。

根据本公开的第二方面，提供了一种基于微服务网关的服务网格流量控制系统。图5示出了根据本公开实施例的基于微服务网关的服务网格流量控制系统的结构图。如图5所示，所述系统包括：部署模块501，被配置为，部署服务网格Istio和微服务网关gateway；设置模块502，被配置为，设置应用服务server的规则，所述规则用于各个所述应用服务server之间的流量控制；以及控制模块503，被配置为，通过所述微服务网关gateway请求所述服务网格Istio的内部服务或调用所述服务网格Istio的外部服务，并控制所述服务网格Istio的流量。

具体地，所述部署模块501进一步被配置为，设置所述微服务网关gateway的Kubernetes注解为sidecar.istio.io/inject:"true"，以部署所述微服务网关gateway的代理sidecar。

具体地，所述设置模块502进一步被配置为，所述应用服务server的规则包括所述Kubernetes的内部服务、所述服务网格的路由规则以及目标规则中的一个或多个。

具体地，所述控制模块503进一步被配置为，通过所述微服务网关gateway请求所述服务网格Istio的内部服务或调用所述服务网格Istio的外部服务时，所述微服务网关gateway对所述请求执行自定义逻辑，并通过协议转换后将所属权请求经由所述代理sidecar路由给所述应用服务server。

根据本公开的第三方面，一种存储有指令的非暂时性计算机可读介质，当所述指令由处理器执行时，执行根据本公开第一方面中任一项所述的基于微服务网关的服务网格流量控制方法中的步骤。

注意，根据本公开的各个实施例中的各个单元，可以实现为存储在存储器上的计算机可执行指令，由处理器执行时可以实现相应的步骤；也可以实现为具有相应逻辑计算能力的硬件；也可以实现为软件和硬件的组合(固件)。在一些实施例中，处理器可以实现为FPGA、ASIC、DSP芯片、SOC(片上系统)、MPU(例如但不限于Cortex)、等中的任何一种。处理器可以通信地耦合到存储器并且被配置为执行存储在其中的计算机可执行指令。存储器可以包括只读存储器(ROM)、闪存、随机存取存储器(RAM)、诸如同步DRAM(SDRAM)或Rambus DRAM的动态随机存取存储器(DRAM)、静态存储器(例如，闪存、静态随机存取存储器)等，其上以任何格式存储计算机可执行指令。计算机可执行指令可以被处理器访问，从ROM或者任何其他合适的存储位置读取，并加载到RAM中供处理器执行，以实现根据本公开各个实施例的无线通信方法。

此外，尽管已经在本文中描述了示例性实施例，其范围包括任何和所有基于本公开的具有等同元件、修改、省略、组合(例如，各种实施例交叉的方案)、改编或改变的实施例。权利要求书中的元件将被基于权利要求中采用的语言宽泛地解释，并不限于在本说明书中或本申请的实施期间所描述的示例，其示例将被解释为非排他性的。因此，本说明书和示例旨在仅被认为是示例，真正的范围和精神由以下权利要求以及其等同物的全部范围所指示。

以上描述旨在是说明性的而不是限制性的。例如，上述示例(或其一个或更多方案)可以彼此组合使用。例如本领域普通技术人员在阅读上述描述时可以使用其它实施例。另外，在上述具体实施方式中，各种特征可以被分组在一起以简单化本公开。这不应解释为一种不要求保护的公开的特征对于任一权利要求是必要的意图。相反，本发明的主题可以少于特定的公开的实施例的全部特征。从而，以下权利要求书作为示例或实施例在此并入具体实施方式中，其中每个权利要求独立地作为单独的实施例，并且考虑这些实施例可以以各种组合或排列彼此组合。本发明的范围应参照所附权利要求以及这些权利要求赋权的等同形式的全部范围来确定。

Claims (5)

1.一种基于微服务网关的服务网格流量控制方法，其特征在于，所述方法包括：

步骤S1、部署服务网格和微服务网关；

步骤S2、设置应用服务的规则，所述规则用于各个所述应用服务之间的流量控制；以及

步骤S3、通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务，并控制所述服务网格的流量；其中，

所述微服务网关从接到请求到返回结果包括三个阶段：准备阶段、调用阶段以及结束阶段，每个阶段通过不同的过滤器组合来协同完成请求过程，其中，在结束阶段中，将调用阶段协议转换为源服务通讯协议，交给后续过滤器；包括：在准备阶段中，服务识别过滤器会根据端口区分协议类型，将请求识别为网关定义的“上下文”后交给后续过滤器，协议解析过滤器根据服务识别过滤器处理后的“上下文”，对请求进行解析，将请求拆分为“请求头”、“请求体”两部分，交给后续过滤器；在调用阶段中，根据不同通讯协议的配置，创建不同的协议代理器，协议代理器创建不同的协议客户端代理，从“上下文”中获取路由信息，从注册中心或静态地址中获得目标服务ip地址，并创建连接，发送请求，接收响应，将响应存入“上下文”传递给结束阶段；在结束阶段中，协议转换过滤器从调用阶段获得“上下文”，将调用阶段协议转换为源服务通讯协议，交给后续过滤器；其中：通过配置中心的下发进行热更新自定义过滤器的特性，从而适应包括token认证、黑白名单、请求脱敏、添加自定义报文头在内的需求；

在所述步骤S1中，设置所述微服务网关的Kubernetes注解为sidecar.istio.io/inject:"true"，以部署所述微服务网关的代理；

在所述步骤S2中，所述应用服务的规则包括所述Kubernetes的内部服务、所述服务网格的路由规则以及目标规则中的一个或多个。

2.根据权利要求1所述的基于微服务网关的服务网格流量控制方法，其特征在于，在步骤S3中，通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务时，所述微服务网关对所述请求执行自定义逻辑，并通过协议转换后将所述请求经由所述代理路由给所述应用服务。

3.一种基于微服务网关的服务网格流量控制系统，其特征在于，所述系统包括：

部署模块，被配置为，部署服务网格和微服务网关；

设置模块，被配置为，设置应用服务的规则，所述规则用于各个所述应用服务之间的流量控制；以及

控制模块，被配置为，通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务，并控制所述服务网格的流量；其中，所述微服务网关从接到请求到返回结果包括三个阶段：准备阶段、调用阶段以及结束阶段，每个阶段通过不同的过滤器组合来协同完成请求过程，其中，在结束阶段中，将调用阶段协议转换为源服务通讯协议，交给后续过滤器；包括：在准备阶段中，服务识别过滤器会根据端口区分协议类型，将请求识别为网关定义的“上下文”后交给后续过滤器，协议解析过滤器根据服务识别过滤器处理后的“上下文”，对请求进行解析，将请求拆分为“请求头”、“请求体”两部分，交给后续过滤器；在调用阶段中，根据不同通讯协议的配置，创建不同的协议代理器，协议代理器创建不同的协议客户端代理，从“上下文”中获取路由信息，从注册中心或静态地址中获得目标服务ip地址，并创建连接，发送请求，接收响应，将响应存入“上下文”传递给结束阶段；在结束阶段中，协议转换过滤器从调用阶段获得“上下文”，将调用阶段协议转换为源服务通讯协议，交给后续过滤器；其中：通过配置中心的下发进行热更新自定义过滤器的特性，从而适应包括token认证、黑白名单、请求脱敏、添加自定义报文头在内的需求；

所述部署模块进一步被配置为，设置所述微服务网关的Kubernetes注解为sidecar.istio.io/inject:"true"，以部署所述微服务网关的代理；

所述设置模块进一步被配置为，所述应用服务的规则包括所述Kubernetes的内部服务、所述服务网格的路由规则以及目标规则中的一个或多个。

4.根据权利要求3所述的基于微服务网关的服务网格流量控制系统，其特征在于，所述控制模块进一步被配置为，通过所述微服务网关请求所述服务网格的内部服务或调用所述服务网格的外部服务时，所述微服务网关对所述请求执行自定义逻辑，并通过协议转换后将所属权请求经由所述代理路由给所述应用服务。

5.一种存储有指令的非暂时性计算机可读介质，当所述指令由处理器执行时，执行根据权利要求1-2中任一项所述的基于微服务网关的服务网格流量控制方法中的步骤。

Images