23、Istio应用实践与eBPF技术探索

Istio应用实践与eBPF技术探索

1. 异常检测参数设置

在异常检测中，我们定义了 baseEjectionTime 为5分钟，这是每次驱逐的最短持续时间。它会与电子邮件服务被判定为不健康的次数相乘。例如，如果v1电子邮件服务被判定为异常5次，那么它将从连接池中被驱逐 baseEjectionTime * 5 的时间。同时，我们定义了 consecutive5xxErrors 为1，即需要出现1次5xx错误，上游服务才会被判定为异常。 interval 被定义为90秒，这是Istio扫描上游服务健康状态的检查间隔时间。最后， maxEjectionPercent 被定义为50%，这是连接池中可以被驱逐的主机的最大比例。

2. 配置Istio管理应用程序安全

在通过Istio Gateway创建了Ingress、通过Istio VirtualService创建了路由规则以及通过DestinationRules处理了流量如何路由到最终目的地之后，我们可以进入保护网格中流量的下一步。以下策略强制要求网格中的所有流量都必须通过mTLS进行：

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: strictmtls-online-boutique
  namespace: online-boutique
spec:
  mtls:
    mode: