36、Istio 服务网格：VM 集成与 Envoy 扩展全解析

Istio 服务网格：VM 集成与 Envoy 扩展全解析

1. Mesh 扩展至虚拟机

当获得成功响应时，意味着流量已从集群路由到论坛工作负载。这验证了从集群服务到工作负载条目的流量流动。同时，此示例展示了 Istio 不会将流量发送到未准备好接收流量的工作负载，因为它不会在数据平面配置该工作负载的端点。在生产集群中，这能保护客户端避免向返回错误的实例发送流量，而是仅将流量路由到健康实例。

2. 控制平面配置虚拟机：强制相互认证

由于虚拟机已集成到网格中，且边车代理管理网络流量，因此可以将 Istio 的强大功能应用于虚拟机。为了展示这一点，我们将创建一个 PeerAuthentication 策略，以强制进行相互认证的流量，从而提高安全性。
目前，由于我们暴露了虚拟机的 8080 端口，任何能够连接到该端口的人都可以获得请求服务，包括未经授权的用户。我们可以通过从本地计算机（未集成到网格中）向虚拟机发起请求来验证这一点：

curl -is $VM_IP:8080/api/users | grep HTTP

输出结果应为：

HTTP/1.1 200 OK

为了禁止这种情况，我们需要配置服务网格，使用全网策略仅服务经过相互认证的流量，从而保护服务免受未经授权的访问：

kubectl apply -f ch13/strict-peer-auth.yaml

等待一段时间，