在双栈模式下安装 Istio

先决条件

• Istio 1.17 或更高版本。
• Kubernetes 1.23 或更高版本 配置为双栈操作。

安装步骤

如果要使用 kind 进行测试，可以使用以下命令设置双栈集群

$ kind create cluster --name istio-ds --config - <<EOF
kind: Cluster
apiVersion: kind.x-k8s.io/v1alpha4
networking:
  ipFamily: dual
EOF

要为 Istio 启用双栈，需要使用以下配置修改 IstioOperator 或 Helm 值。

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        ISTIO_DUAL_STACK: "true"
  values:
    pilot:
      env:
        ISTIO_DUAL_STACK: "true"
    # The below values are optional and can be used based on your requirements
    gateways:
      istio-ingressgateway:
        ipFamilyPolicy: RequireDualStack
      istio-egressgateway:
        ipFamilyPolicy: RequireDualStack

meshConfig:
  defaultConfig:
    proxyMetadata:
      ISTIO_DUAL_STACK: "true"
values:
  pilot:
    env:
      ISTIO_DUAL_STACK: "true"
  # The below values are optional and can be used based on your requirements
  gateways:
    istio-ingressgateway:
      ipFamilyPolicy: RequireDualStack
    istio-egressgateway:
      ipFamilyPolicy: RequireDualStack

验证

1. 创建三个命名空间

   • dual-stack：tcp-echo 将同时监听 IPv4 和 IPv6 地址。
   • ipv4：tcp-echo 将只监听 IPv4 地址。
   • ipv6：tcp-echo 将只监听 IPv6 地址。

   $ kubectl create namespace dual-stack
   $ kubectl create namespace ipv4
   $ kubectl create namespace ipv6
   

2. 在所有这些命名空间以及 default 命名空间上启用 sidecar 注射

   $ kubectl label --overwrite namespace default istio-injection=enabled
   $ kubectl label --overwrite namespace dual-stack istio-injection=enabled
   $ kubectl label --overwrite namespace ipv4 istio-injection=enabled
   $ kubectl label --overwrite namespace ipv6 istio-injection=enabled
   

3. 在命名空间中创建 tcp-echo 部署

   压缩压缩压缩

   $ kubectl apply --namespace dual-stack -f @samples/tcp-echo/tcp-echo-dual-stack.yaml@
   $ kubectl apply --namespace ipv4 -f @samples/tcp-echo/tcp-echo-ipv4.yaml@
   $ kubectl apply --namespace ipv6 -f @samples/tcp-echo/tcp-echo-ipv6.yaml@
   

4. 部署 curl 示例应用程序，用作发送请求的测试源。

   压缩

   $ kubectl apply -f @samples/curl/curl.yaml@
   

5. 验证流量是否到达双栈 Pod

   $ kubectl exec "$(kubectl get pod -l app=curl -o jsonpath='{.items[0].metadata.name}')" -- sh -c "echo dualstack | nc tcp-echo.dual-stack 9000"
   hello dualstack
   

6. 验证流量是否到达 IPv4 Pod

   $ kubectl exec "$(kubectl get pod -l app=curl -o jsonpath='{.items[0].metadata.name}')" -- sh -c "echo ipv4 | nc tcp-echo.ipv4 9000"
   hello ipv4
   

7. 验证流量是否到达 IPv6 Pod

   $ kubectl exec "$(kubectl get pod -l app=curl -o jsonpath='{.items[0].metadata.name}')" -- sh -c "echo ipv6 | nc tcp-echo.ipv6 9000"
   hello ipv6
   

8. 验证 Envoy 监听器

   $ istioctl proxy-config listeners "$(kubectl get pod -n dual-stack -l app=tcp-echo -o jsonpath='{.items[0].metadata.name}')" -n dual-stack --port 9000 -ojson | jq '.[] | {name: .name, address: .address, additionalAddresses: .additionalAddresses}'
   

   您将看到监听器现在绑定到多个地址，但仅针对双栈服务。其他服务将只监听单个 IP 地址。

   "name": "fd00:10:96::f9fc_9000",
   "address": {
       "socketAddress": {
           "address": "fd00:10:96::f9fc",
           "portValue": 9000
       }
   },
   "additionalAddresses": [
       {
           "address": {
               "socketAddress": {
                   "address": "10.96.106.11",
                   "portValue": 9000
               }
           }
       }
   ],
   

9. 验证虚拟入站地址是否配置为同时监听 0.0.0.0 和 [::]。

   $ istioctl proxy-config listeners "$(kubectl get pod -n dual-stack -l app=tcp-echo -o jsonpath='{.items[0].metadata.name}')" -n dual-stack -o json | jq '.[] | select(.name=="virtualInbound") | {name: .name, address: .address, additionalAddresses: .additionalAddresses}'
   

   "name": "virtualInbound",
   "address": {
       "socketAddress": {
           "address": "0.0.0.0",
           "portValue": 15006
       }
   },
   "additionalAddresses": [
       {
           "address": {
               "socketAddress": {
                   "address": "::",
                   "portValue": 15006
               }
           }
       }
   ],
   

10. 验证 Envoy 端点是否配置为路由到 IPv4 和 IPv6。

    $ istioctl proxy-config endpoints "$(kubectl get pod -l app=curl -o jsonpath='{.items[0].metadata.name}')" --port 9000
    ENDPOINT                 STATUS      OUTLIER CHECK     CLUSTER
    10.244.0.19:9000         HEALTHY     OK                outbound|9000||tcp-echo.ipv4.svc.cluster.local
    10.244.0.26:9000         HEALTHY     OK                outbound|9000||tcp-echo.dual-stack.svc.cluster.local
    fd00:10:244::1a:9000     HEALTHY     OK                outbound|9000||tcp-echo.dual-stack.svc.cluster.local
    fd00:10:244::18:9000     HEALTHY     OK                outbound|9000||tcp-echo.ipv6.svc.cluster.local
    

现在可以在环境中尝试双栈服务！

清理

1. 清理应用程序命名空间和部署

   压缩

   $ kubectl delete -f @samples/curl/curl.yaml@
   $ kubectl delete ns dual-stack ipv4 ipv6