Egress Gateway 是一个重要的组件，用于管理从服务网格内部到外部服务的流量

原创 已于 2025-01-17 13:18:26 修改 · 1.3k 阅读 · 6 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#gateway #网络

于 2024-09-30 10:47:27 首次发布

在 Istio 服务网格中，Egress Gateway 是一个重要的组件，用于管理从服务网格内部到外部服务的流量。Egress Gateway 充当了一个边界路由器的角色，处理所有从网格内部发出的请求到非网格服务的流量。它可以帮助解决服务网格内外部服务通信的问题，尤其是在需要统一的流量管理和安全性时。

Egress Gateway 的作用

  • 流量出口：Egress Gateway 是服务网格内服务与外部服务之间的桥梁。它处理所有从网格内部服务到外部服务的请求。

  • 负载均衡：它可以作为一个负载均衡器，将请求分发到多个外部服务实例。

  • 安全性和认证：可以提供 SSL/TLS 终结、认证和授权等功能，确保与外部服务通信的安全性。

  • 服务发现：可以实现对外部服务的发现和健康检查。

  • 可观察性：可以记录所有通过它的请求，以便进行监控、日志记录和跟踪。

配置 Egress Gateway

在 Istio 中，可以通过定义 Gateway 和 DestinationRule 资源来配置 Egress Gateway。尽管 Istio 提供了一个默认的 Egress Gateway，即 istio-egressgateway，但它可能需要根据特定的需求进行配置。

Gateway 资源

Gateway 资源定义了 Egress Gateway 监听的端口和协议。例如：

 

Yaml
 

深色版本
 

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name

                

        

    


  


        

            

                      
                        最低0.47元/天 解锁文章
                          
                      
            

        


    



                



	

		

			

				
					
第 12 篇：网格边界安全 - Egress Gateway 与最佳实践

				
			

			

				

					weixin_42587823的博客
				

				

					09-02
					
					690
					
				

			

		

		

			
				
本文介绍了Istio服务网格中Egress Gateway的作用与配置方法。通过将默认的ALLOW_ANY出站流量模式改为REGISTRY_ONLY，配合ServiceEntry和Gateway资源，可以实现对网格外部服务的统一访问控制。Egress Gateway作为网格统一出口，能有效提升安全性、实现统一监控和策略管理。文章还提供了配置ServiceEntry和Gateway资源的YAML示例，指导读者如何控制网格内服务访问外部网站（如edition.cnn.com）的过程。

			
		

	



                

            
              



	

		

			

				
					
备考ICA----Istio实验14---出向流量管控Egress Gateways实验

				
			

			

				

					Q先生
				

				

					03-29
					
					755
					
				

			

		

		

			
				
为 edition.cnn.com 创建一个出口，端口 80，并为定向到出口网关的流量创建一个目标规则metadata:spec:selector:servers:- port:number: 80name: httphosts:---metadata:spec:subsets:部署。

			
		

	



              


  
              

                


	

		

			

				
					
Egress Gateway

				
			

			

				

					weixin_39246554的博客
				

				

					11-18
					
					792
					
				

			

		

		

			
				
配置 Envoy 以允许访问任何外部服务。使用将一个可访问的外部服务注册到网格中，这是推荐的方法。配置 Istio Sidecar 以从其重新映射的 IP 表中排除外部 IP。第一种方法通过 Istio Sidecar 代理来引导流量，包括对网格内部未知服务的调用。使用这种方法时，无法监控对外部服务的访问或无法利用 Istio 的流量控制功能。

			
		

	





	

		

			

				
					
云原生内容分享(二十四)：云原生 EgressGateway,适用于 Calico，Flannel 和 Spiderpool 等 CNI 的出口网关

				
			

			

				

					之乎者也·的博客
				

				

					02-10
					
					1432
					
				

			

		

		

			
				
左侧节点被 EgressPolicy 策略命中的 Pod 流量，会通过 iptabels, route, ipset 规则并通过 vxlan 转发到网关节点，然后从网关节点将源 IP 转为 Egress IP 离开集群。稍后可以通过创建 EgressPolicy CR 来选择可使用的 EgressGateway，并通过 label 匹配业务 Pod，使业务流量通过网关节点离开集群。如下图集群 B 中的 Pod 为一组应用，管理员希望右侧同一业务组的 Pod 出集群的流量都使用特定 IP。

			
		

	



		

			
		



	

		

			

				
					
Istio Egress Gateway出口流量管理

				
			

			

				

					weixin_33967071的博客
				

				

					10-25
					
					2344
					
				

			

		

		

			
				
缺省状态下，Istio服务网格内的Pod，由于其iptables将所有外发流量都透明的转发给了sidecar，所以这些集群内的服务无法访问集群之外的 URL，而只能处理集群内部的目标。
控制出口流量描述了如何通过ServiceEntry将外部服务暴露给集群内的客户端
本文则通过一个官方的用例解释如何通过Egress Gateway配置Istio的出口流量...

			
		

	





	

		

			

				
					
Configure an Egress Gateway(0.8)

				
			

			

				

					Ybt_c_index的博客
				

				

					06-19
					
					1307
					
				

			

		

		

			
				
Control Egress Traffic task 演示了在服务网格内的应用如何访问外部（k8s集群外）的HTTP和HTTPS服务。快速提醒：默认情况下，启用Istio的应用不能访问集群外部的URL。为了启用这种访问，必须定义 ServiceEntry ，或者必须经过配置 direct access to external services （直接访问外部服务）。

TLS Originati...

			
		

	





	

		

			

				
					
Istio的Ingress与Egress网关

				
			

			

				

					Micky_Yang的博客
				

				

					07-03
					
					6897
					
				

			

		

		

			
				
一、认识Ingress
　　在Istio的流量控制中，Ingress可以理解为前端应用的一个代理网格，当被转发到代理容器的流量到达服务前，会先经过该服务的Ingress Gateway，之后；再有Ingress Gateway转发至后端的VirtualService资源对象上。
　　
二、Ingress实验
1）部署httpbin服务
➜  cat ../../samples/httpbin/httpbin.yaml 
# Copyright Istio Authors
#
#   Licensed und

			
		

	





	

		

			

				
					
9、Envoy与Istio：服务网格中的流量管理与代理实践

				
			

			

				

					study的专栏
				

				

					07-27
					
					112
					
				

			

		

		

			
				
本文介绍了Envoy和Istio在服务网格中的流量管理与代理实践。首先通过Envoy的入门示例，演示了如何使用Docker运行Envoy代理并配置基本的流量转发功能。随后深入探讨了Envoy的管理API、请求重试机制以及其与Istio的集成方式，包括服务发现、遥测支持和TLS流量处理。文章还详细讲解了如何使用Istio Gateway和VirtualService定义入口点并配置路由规则，确保外部流量安全高效地进入集群。此外，还涵盖了如何对入口流量进行安全控制，包括TLS加密和访问策略，并介绍了Istio对

			
		

	





	

		

			

				
					
k8s-Istio 服务网格：DestinationRule/VirtualService/Ingress Gateway / 流量镜像及 Sidecar 策略实战

					
最新发布

				
			

			

				

					qq_51879297的博客
				

				

					08-23
					
					1202
					
				

			

		

		

			
				
本文介绍了基于Istio服务网格的Bookinfo微服务应用实战，涵盖核心功能配置与流量管理。主要内容包括：1)通过DestinationRule定义4个微服务的版本子集；2)配置VirtualService实现默认路由、用户精准路由(v2)、流量镜像(v1到v2)和比例分配(v1和v3各50%)；3)搭建IngressGateway实现外部HTTP访问；4)通过Sidecar策略进行命名空间级流量控制。这些配置演示了Istio在服务治理中的关键能力，包括流量路由、灰度发布、安全隔离等功能

			
		

	





	

		

			

				
					
EgressGateway 项目常见问题解决方案

				
			

			

				

					gitblog_00199的博客
				

				

					12-12
					
					503
					
				

			

		

		

			
				
EgressGateway 项目常见问题解决方案
1. 项目基础介绍与主要编程语言
EgressGateway 是一个为 Kubernetes 集群设计的开源项目，旨在解决集群内部 Pod 访问外部服务时 Egress IP 地址不固定的问题。该项目支持多种 CNI 网络模式，如 Calico、Flannel、Weave 和 Spiderpool，允许通过灵活配置和管理工作负载的出站策略来设置租户...

			
		

	





	

		

			

				
					
Istio：Gateway设计与实现

				
			

			

				

					琦彦
				

				

					01-14
					
					7671
					
				

			

		

		

			
				
目录


Gateway简介
	Gateway vs Kubernetes Ingress
	Gateway原理及实现


Gateway简介


在Istio中， Gateway控制着网格边缘的服务暴露。





Gateway也可以看作网格的负载均衡器， 提供以下功能：

1) L4-L6的负载均衡
	2) 对外的mTLS
Istio服务网格中， Gateway可以部署任意多个，可以共用一个...

			
		

	





	

		

			

				
					
24【istio】-【流量管理】-【Engress gateway】访问外部的服务

				
			

			

				

					qq_42303254的博客
				

				

					02-19
					
					1109
					
				

			

		

		

			
				
这里以istio 1.6.0为例

不同版本的istio安装步骤参考官网：Istio / Ingress Gateway without TLS Termination

注：这里只给出相关步骤参考，在实践时，结合该博客、官网一起看。




​



一、准备工作


​






二、pod【启用了istio的pod】访问外部服务的方式一：Envoy透传（穿过）到外部服务【默认方式】







vvv



vvv
...

			
		

	





	

		

			

				
					
gateway资源详解

				
			

			

				

					mark's technic world
				

				

					08-31
					
					2477
					
				

			

		

		

			
				
学习目标

什么是gateway

在Kubernetes环境中，Kubernetes Ingress用于配置需要在集群外部公开的服务。但是在Istio服务网格中，更好的方法是使用新的配置模型，即Istio Gateway。Gateway允许将Istio流量管理的功能应用于进入集群的流量。
gateway 分为两种，分别是ingress-gateway和egress-gateway，分别用来处理入口流量和出口流量。gateway本质也是一个envoy pod。
资源详解
selector
1.7.0/gat

			
		

	





	

		

			

				
					
会员业务出口网关的设计与实现

				
			

			

				

					爱奇艺技术产品团队
				

				

					09-19
					
					1624
					
				

			

		

		

			
				
01#背景介绍1.1 出口网关是什么出口网关（Egress Gateway）是一种部署在云或企业网络中的网络组件，它控制着从内部网络（如企业内网、内部微服务网络）流出到外部网络（如公共互联网或其他外部服务）的流量。一般来说，出口网关是内部服务与外界交互的一个流量出口，实现对外请求的协议转换、流控、监控等通用功能。相比于传统的入口网关（Ingress Gateway），出口网关侧重于对出站流...

			
		

	





	

		

			

				
					
Istio 入门（七）：出入口网关 - 负载均衡和熔断等一系列功能

				
			

			

				

					dotNET跨平台
				

				

					10-27
					
					681
					
				

			

		

		

			
				
本教程已加入 Istio 系列：https://istio.whuanle.cn目录5，出入口网关子版本部署服务配置 Gatewayistio-ingressgatewayistio-egressgateway5，出入口网关Istio 可以管理集群的出入口流量，当客户端访问集群内的应用时， Istio 可以将经过 istio-ingressgateway 的流量实现负载均衡和熔断等一系列功能。可是...

			
		

	





	

		

			

				
					
istio中使用serviceentry结合egressgateway实现多版本路由

				
			

			

				

					小诸葛的博客
				

				

					09-17
					
					719
					
				

			

		

		

			
				
现在需要把这个服务引入到istio中，使用egressgateway转发访问该服务的流量，并且需要实现多版本路由，使得header中x-version的值为v1的路由到v1版本，x-version的值为v2的路由到v2版本。假设有一个外部服务，外部服务ip为：10.10.102.90，其中32033为v1版本，32034为v2版本。使用serviceentry引入该服务。

			
		

	





	

		

			

				
					
Istio三之VirtualService、Gateway、DestinationRule配置使用

				
			

			

				

					qiaotl的博客
				

				

					07-25
					
					7915
					
				

			

		

		

			
				
通过实际例子演示如何配置VirtualService、Gateway、DestinationRule完成流量管理

			
		

	





	

		

			

				
					
20-【istio】-【流量管理】-【Ingress gateway】Istio ingress gateway

				
			

			

				

					qq_42303254的博客
				

				

					02-18
					
					3063
					
				

			

		

		

			
				
这里以istio 1.6.0为例

不同版本的istio安装步骤参考官网：Istio / Ingress Gateways





istio ingress gateway是进入集群的大门；

istio egress gateway是出去集群的大门。





istio ingress gateway和 istio 中自己定义的gateway资源的关系：

可以把istio ingress gateway理解为：k8s中的traefik ingress controller或nginx ingre.

			
		

	





	

		

			

				
					
istio-ingress/egress

				
			

			

				

					jinyidong的博客
				

				

					05-23
					
					4145
					
				

			

		

		

			
				
d

			
		

	





	

		

			

				
					
Istio Egress Gateway 在架构中的目的是什么？

				
			

			

				

					07-26
				

			

		

		

			
				
<think>嗯，用户这次转向了服务网格领域，询问Istio Egress Gateway的功能定位。结合用户提供的四段引用材料，核心需要提炼Egress Gateway在服务网格架构中的不可替代性。

用户引用的材料[1]和[2]已经明确指出了关键点：Egress Gateway本质是服务网格的"边界守卫"，专门治理出向流量。这让我想起TiDB里PD作为中央协调器的角色——虽然领域不同，但都是系统中承担特定关键功能的组件。不同的是，Egress Gateway采用代理模式而非PD的集中式管理。

特别注意到引用[3]提到的设计哲学：Gateway将L4-L6配置与L7配置解耦。这种分层设计很像网络协议栈，Egress Gateway相当于在传输层做统一拦截，再通过VirtualService绑定应用层路由规则。用户提供的材料[4]虽然偏重学习资源，但提到的Envoy Proxy正是Egress Gateway的技术底座。

用户可能隐含的深层需求是：为什么不能直接让Pod访问外部服务，非要加一层网关？这需要从三个维度解释：安全方面（集中策略实施点）、运维方面（统一流量观测点）、架构方面（屏蔽基础设施差异）。引用[2]提到的"无公网IP节点访问外部"就是典型场景。

突然意识到用户之前研究过TiDB集群故障影响，或许对高可用设计敏感。Egress Gateway本身支持多副本部署，但需要提醒用户：如果所有Egress Pod同时宕机，会导致外部访问完全中断——这点在架构设计时要考虑冗余。</think>Istio Egress Gateway 是服务网格的关键边界组件，其核心功能与作用可归纳为以下方面：

---

### **一、核心功能**
1. **统一出口流量控制**  
   - 作为**专用出口代理**，强制所有出站流量（如访问外部 API、数据库）必须流经网关，实现集中式管理[^1][^2]。
   - 示例配置：
     ```yaml
     apiVersion: networking.istio.io/v1alpha3
     kind: Gateway
     metadata:
       name: istio-egressgateway
     spec:
       selector:
         istio: egressgateway
       servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
         - "*.example.com"
         tls:
           mode: MUTUAL
     ```

2. **安全策略实施**  
   - **TLS 加密**：网关与外部服务间强制 HTTPS 通信，防止中间人攻击[^1]。
   - **身份认证**：支持 mTLS 双向认证，确保外部服务合法性[^3]。

3. **流量监控与审计**  
   - 集成 Prometheus 收集流量指标（如请求成功率、延迟）[^4]。
   - 通过 Jaeger 实现出口流量的分布式追踪，定位跨域延迟问题。

---

### **二、架构作用**
#### 1. **解决网络限制问题**
- **场景**：集群节点无公网 IP 时  
  - Egress Gateway 作为**唯一有公网 IP 的节点**，代理内部 Pod 访问外部服务[^2]。
- **场景**：合规性要求  
  - 满足“所有出口流量必须经专用审查节点”的安全规范[^2]。

#### 2. **解耦网络层与应用层**
- **传统负载均衡器模式**  
  网关分离 L4-L6（端口/TLS）与 L7（HTTP 路由）配置[^3]：
  ```mermaid
  graph LR
    A[L4-L6配置] -->|绑定| B(Gateway)
    C[L7路由规则] -->|绑定| D(VirtualService)
    B --> E(外部服务)
    D --> E
  ```
- **优势**：  
  - 网络运维人员管理 Gateway（基础设施层）  
  - 开发人员管理 VirtualService（应用层）[^3]

#### 3. **提升可观测性**
- **统一监控出口流量**  
  Kiali 面板可展示所有外部服务的依赖关系与性能指标[^4]：  
  ![Kiali Egress 监控](https://istio.io/latest/docs/tasks/traffic-management/egress/egress-gateway/kiali-egress-gateway.png)

---

### **三、典型应用场景**
| **场景**                  | **Egress Gateway 作用**               | **配置要点**                     |
|--------------------------|--------------------------------------|--------------------------------|
| **访问云数据库**          | 加密数据库连接 + IP 白名单            | 配置 TLS 终止与 SNI 路由        |
| **调用第三方 API**        | 限流、重试策略集中管理               | 在 VirtualService 设置超时规则  |
| **混合云架构**            | 统一管理跨云服务出口点               | 多集群 Gateway 联邦             |
| **安全审计合规**          | 记录所有出站请求日志                 | 启用 AccessLog 并对接 SIEM 系统 |

---

### **四、与 Ingress Gateway 对比**
| **特性**         | Egress Gateway                     | Ingress Gateway                  |
|------------------|------------------------------------|----------------------------------|
| **流量方向**     | 内部 → 外部                        | 外部 → 内部                      |
| **核心目标**     | 控制出站安全与可见性               | 管理入站流量路由                 |
| **典型配置**     | `ServiceEntry` + `Gateway`        | `Gateway` + `VirtualService`     |
| **安全重心**     | 外部服务认证 + 数据加密            | 用户认证 + DDoS 防护             |

> **关键价值总结**：Egress Gateway 通过**集中化出口流量**，实现了服务网格的"零信任安全模型"，同时提供网络策略统一管控点，是构建企业级安全网格的必备组件[^1][^4]。

```mermaid
graph TD
    A[服务网格内 Pod] -->|出站请求| B(Egress Gateway)
    B -->|加密+审计| C[外部服务]
    B --> D[Prometheus 监控]
    B --> E[Jaeger 追踪]
    B --> F[Kiali 拓扑图]
```

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

  
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值