PHP应用中的服务网格（Service Mesh）：Istio/Linkerd对PHP微服务的透明代理与限流 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

PHP 微服务与服务网格：Istio/Linkerd 透明代理与限流

各位朋友，大家好！今天我们来探讨一个在现代微服务架构中至关重要的概念：服务网格。特别是，我们将深入研究如何在 PHP 应用中使用服务网格，并重点关注 Istio 和 Linkerd 这两个流行的实现，以及它们如何提供透明代理和限流等关键功能。

微服务架构的挑战

在传统的单体应用中，所有的组件都运行在同一个进程内，彼此之间通过函数调用直接交互。然而，随着业务的增长，单体应用变得越来越庞大和复杂，难以维护、扩展和部署。微服务架构应运而生，它将应用拆分成一系列小型、自治的服务，每个服务专注于特定的业务功能。

虽然微服务架构带来了诸多好处，例如独立部署、技术多样性和更高的可伸缩性，但也引入了新的挑战：

服务发现： 服务需要能够动态地找到彼此的位置。
负载均衡： 请求需要在多个服务实例之间均匀分布。
故障处理： 需要优雅地处理服务故障，例如重试、熔断和降级。
安全： 服务之间的通信需要加密和认证。
可观测性： 需要监控和追踪服务之间的调用链，以便诊断问题。

服务网格的出现

服务网格是一种专门用于处理服务间通信的基础设施层。它将服务间通信的逻辑从应用程序代码中剥离出来，并将其下沉到基础设施层。服务网格通过部署一组轻量级的代理（通常称为 Sidecar 代理）来实现这一目标。每个 Sidecar 代理与应用程序服务部署在一起，拦截所有进出服务的网络流量，并执行诸如服务发现、负载均衡、故障处理、安全和可观测性等功能。

服务网格的架构

一个典型的服务网格架构包括两个主要组件：

数据平面（Data Plane）： 由 Sidecar 代理组成，负责拦截和处理服务间的流量。这些代理通常使用高性能的代理服务器（例如 Envoy 或 Nginx）实现。
控制平面（Control Plane）： 负责配置和管理数据平面中的 Sidecar 代理。它提供服务发现、策略配置和遥测数据收集等功能。

Istio 和 Linkerd：两种流行的服务网格实现

Istio 和 Linkerd 是两个最流行的开源服务网格平台。它们都提供了强大的功能来简化微服务架构的管理和运维。

特性	Istio	Linkerd
数据平面	Envoy	Rust
控制平面	Golang	Golang
复杂性	较高，功能丰富，配置选项多，学习曲线陡峭。	较低，易于上手，配置简单，更专注于核心功能。
支持的协议	HTTP/1.1, HTTP/2, gRPC, TCP, WebSocket	HTTP/1.1, HTTP/2, gRPC, TCP, WebSocket
安全	强大的安全功能，包括 mTLS、授权策略和审计日志。	安全功能，包括 mTLS 和授权策略。
可观测性	强大的可观测性功能，包括指标、日志和追踪。与 Prometheus、Grafana 和 Jaeger 等工具集成。	可观测性功能，包括指标和追踪。与 Prometheus、Grafana 和 Jaeger 等工具集成。
社区活跃度	非常活跃，拥有庞大的社区和生态系统。	活跃，拥有积极的社区。

在 PHP 应用中使用 Istio/Linkerd

将 Istio 或 Linkerd 集成到 PHP 应用中通常涉及以下步骤：

部署服务网格： 首先，需要在 Kubernetes 集群中部署 Istio 或 Linkerd 控制平面。这通常可以通过 Helm Chart 或其他部署工具来完成。
注入 Sidecar 代理： 将 Sidecar 代理注入到 PHP 应用的 Pod 中。这可以通过自动 Sidecar 注入或手动修改 Pod 定义来完成。
配置服务网格： 使用 Istio 或 Linkerd 的配置 API 来定义服务发现、负载均衡、故障处理、安全和可观测性等策略。

透明代理

服务网格的一个关键特性是透明代理。这意味着应用程序无需修改代码即可享受服务网格提供的功能。Sidecar 代理拦截所有进出服务的网络流量，并透明地执行服务发现、负载均衡、故障处理、安全和可观测性等功能。

PHP 代码示例 (没有服务网格):

<?php

// 假设这是一个简单的 PHP 微服务，用于获取用户信息

$userId = $_GET['user_id'];

// 直接调用另一个微服务 (例如，用户 profile 服务)
$profileServiceUrl = "http://user-profile-service/profile?user_id=" . $userId;
$profileData = file_get_contents($profileServiceUrl);

echo $profileData;

?>

在这个例子中，PHP 应用直接调用另一个微服务。如果 user-profile-service 发生故障，或者需要进行负载均衡，则需要在应用程序代码中进行处理。

PHP 代码示例 (使用服务网格 – 无需修改):

<?php

// 假设这是一个简单的 PHP 微服务，用于获取用户信息

$userId = $_GET['user_id'];

// 调用另一个微服务 (例如，用户 profile 服务) - 代码没有任何改变！
$profileServiceUrl = "http://user-profile-service/profile?user_id=" . $userId;
$profileData = file_get_contents($profileServiceUrl);

echo $profileData;

?>

在使用服务网格后，应用程序代码没有任何改变。Sidecar 代理会自动拦截对 user-profile-service 的调用，并执行服务发现、负载均衡、故障处理等功能。

限流

限流是一种保护服务免受过载的常用技术。它可以防止恶意攻击或意外流量高峰导致服务崩溃。Istio 和 Linkerd 都提供了强大的限流功能。

Istio 限流示例

Istio 使用 RequestAuthentication、AuthorizationPolicy 和 RateLimit CRD 来实现限流。

RequestAuthentication: 验证请求的身份。

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: user-profile-auth
  namespace: default
spec:
  selector:
    matchLabels:
      app: user-profile-service
  jwtRules:
  - issuer: "https://example.com/issuer"
    jwksUri: "https://example.com/jwks"

AuthorizationPolicy: 定义授权策略。

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: user-profile-authz
  namespace: default
spec:
  selector:
    matchLabels:
      app: user-profile-service
  rules:
  - from:
    - source:
        principals: ["cluster.local/ns/default/sa/user-service"]
    to:
    - operation:
        methods: ["GET"]
        paths: ["/profile"]

RateLimit: 定义限流策略。你需要安装 Istio 的 rate limit service。

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: user-profile-ratelimit
  namespace: default
spec:
  workloadSelector:
    labels:
      app: user-profile-service
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: GATEWAY
      proxy:
        proxyVersion: '1.15.*'
      listener:
        filterChain:
          filter:
            name: "envoy.http_connection_manager"
            subFilter:
              name: "envoy.router"
    patch:
      operation: INSERT_BEFORE
      value:
        name: envoy.filters.http.local_ratelimit
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.http.local_ratelimit.v3.LocalRateLimit
          stat_prefix: http_local_rate_limit
          token_bucket:
            max_tokens: 100
            tokens_per_fill: 10
            fill_interval: 60s # 1 minute
          descriptors:
            - entries:
              - key: generic_key
                value: user-profile-service

这个例子定义了一个限流策略，允许每个客户端每分钟最多请求 100 次 /profile 接口。

Linkerd 限流示例

Linkerd 可以使用 TrafficSplit 和自定义的 Policy 实现限流。 Linkerd 更侧重于SMI规范。这里不给出具体代码，需要安装额外的插件。

Istio 和 Linkerd 的选择

选择 Istio 还是 Linkerd 取决于您的具体需求和偏好。

如果需要强大的功能和灵活的配置选项，并且愿意投入时间和精力来学习和管理，那么 Istio 可能是一个更好的选择。
如果需要一个易于上手、配置简单、专注于核心功能的平台，那么 Linkerd 可能更适合。

优势与劣势

特性	优势	劣势
服务网格	简化微服务管理，提高可观测性，增强安全性，提供流量管理功能（例如负载均衡、故障处理和限流），无需修改应用程序代码。	增加复杂性，引入额外的延迟，需要额外的资源，学习曲线较陡峭。
Istio	功能丰富，配置灵活，支持多种协议，提供强大的安全和可观测性功能，拥有庞大的社区和生态系统。	复杂性高，配置选项多，学习曲线陡峭，资源消耗较大。
Linkerd	易于上手，配置简单，专注于核心功能，性能优秀，资源消耗较小。	功能相对较少，配置选项有限，社区相对较小。
透明代理	应用程序无需修改代码即可享受服务网格提供的功能，降低了开发和运维成本。	可能会引入额外的延迟。
限流	保护服务免受过载，提高可用性和稳定性。	需要仔细配置，否则可能会影响正常流量。

结论：服务网格简化微服务管理，提高可观测性，增强安全性

服务网格是一种强大的工具，可以简化 PHP 微服务架构的管理和运维。Istio 和 Linkerd 是两个流行的服务网格平台，它们都提供了透明代理和限流等关键功能。选择哪个平台取决于您的具体需求和偏好。通过服务网格，你可以专注于业务逻辑的实现，而将服务间通信的复杂性交给基础设施层来处理。

服务网格带来更多可观测性，更强的安全能力

希望今天的分享能够帮助大家更好地理解服务网格，并在 PHP 微服务架构中更好地应用它。服务网格不仅可以解决服务间通信的难题，还能提升整体系统的可观测性和安全性。

PHP 微服务与服务网格：Istio/Linkerd 透明代理与限流

发表回复 取消回复

发表回复取消回复