前言

注意

这是一本编写中的书，现在只是草稿阶段。书名为《Istio & Envoy 内幕》，英文名《Istio & Envoy Insider》。

There is English version too: https://istio-insider.mygraphql.com/en/latest/

本书概述

本书不是什么

本书不是一本使用手册。更不是从使用者角度，教如何深入浅出学习 Istio。不会布道 Istio 有如何如何强大之功能，更不会教如何使用 Istio。这方面网上已经有太多非常优秀的书、文章、文档了。

🤷 : Yet, another Istio User Guide?
🙅 : No!

本书是什么

本书中，我尝试用设计与实现角度，尽量系统地去思考：

• Istio 为什么是现在的样子

• 那些魔术配置背后的真相： Linux + Envoy

  • 流量是如何用 Linux 的 netfilter 技术，被拦截到 Envoy 的

  • istiod 是如何编程 Envoy 去完成服务网格的流量策略的

• Istio 将来可能是什么样子

书里说的，只是在我研究与使用了 Istio 一段时间后，的思考与记录。我只是排查过一些 Istio/Envoy 相关的功能与性能问题，浏览和 Debug 过一些 Istio/Envoy 的代码。

在研究 Istio 过程中。发现网上是有很多非常有价值的资讯。但是，要么主要是从使用者出发，没说实现机理；要么就是说了机理，也说得很好，但内容少了系统化和连贯性。

读者对象

本书主要讲 Istio/Envoy 的设计、实现机制。假设读者已经有一定的 Istio 使用经验。并有兴趣进一步研究其实现机理

书的访问地址

• https://istio-insider.mygraphql.com

• https://istio-insider.readthedocs.io

• https://istio-insider.rtfd.io

关于作者

我叫 Mark Zhu，一个中年且头发少的程序员。我不是 Istio 专家，更不是 Istio Committer。连互联网大厂员工也不是。

为什么水平有限还学人家写书？因为这句话：

你不需要很厲害才能開始，但你需要開始才會很厲害。

Blog: https://blog.mygraphql.com/
为方便读者关注 Blog 与本书的更新，开了个同步的 微信公众号：

微信公众号:Mark的Cloud与BPF沉思录

参与编写

如果你也对编写本书有兴趣，欢迎联系我。本书的出发点不是刷简历，也没这个能力。而且，这样的非短平快 且 TL;DR 书籍注定是小众货。

感谢提出 Issue 的同学 🌻

• 使众行者：对阅读体验和排版提出很多非常好的意见。

Dedication 💞

First, to my dear parents, for showing me how to live a happy and productive life. To my dear wife and our amazing kid – thanks for all your love and patience.

Copyleft 声明

无论是文字还是图片，如果转载或修改，请注明原出处。

意见反馈

由于自称是交互图书，读者的反馈当然非常重要。如果你发现书中的错误，或者有更好的建议，不妨来这里提 Issue:
labilezhu/istio-insider#issues

目录

目录

• 重要：互动图书阅读方式
  • 互动图书
  • 语言风格
  • 画图风格
• Istio 组件架构
  • Istio 整体架构
    • Service Mesh 的一些基础概念
      • 服务调用关系概念
        • Upstream & Downstream
        • Upstream Cluster & Downstream Cluster
        • Inbound & Outbound
    • Istio 端口 与 组件
      • 监听端口
      • iptables
      • 连接
      • 运维杂项
        • 抓包
        • 神奇的 127.0.0.6
      • 一点感想
    • Istio 数据面架构
      • netfilter/iptables
• Envoy Proxy
  • 原生的可编程代理 Envoy Proxy 架构
    • 一点历史
      • 为什么用 C++ 实现
    • Envoy Proxy L1 架构
  • 目录
    • Istio 下 Envoy 配置举例
      • 实验环境
      • Inbound 数据流 “推断”
        • 用日志检查数据流
      • Outbound 数据流 “推断”
      • 用 bpftrace 检查数据流
    • Envoy 抽象主流程与概念
      • 再说 upstream/upstream
    • Istio 里的 Envoy 的进程视角(未开始)
    • 架构
      • 事件驱动与线程模型
        • HTTP 反向代理的总流程
        • Downstream TCP 连接建立
        • 事件处理抽象框架
        • libevent 核心思想
        • 扩展阅读
      • Listener
        • Listener 举例
        • Listener 内部组件
        • Listener 相关的组件和启动顺序
        • 求证过程
      • Network Filter
        • Network Filter Chains
        • Network Filter
        • 扩展阅读
      • http connection manager
        • http filter 抽象对象定义
        • http filter C++类关系
      • Router
        • 扩展阅读
      • HTTP/1.1 Stream(草稿)
    • Envoy 请求与响应调度
      • 请求与响应调度
        • 相关组件
        • 相关的监控指标
        • Envoy 请求调度流程
      • 请求与响应调度时序线
      • 总结
        • HTTP Timeout 配置(草稿)
      • 一些有趣的扩展阅读
    • HTTP 连接生命周期管理
      • Upstream/Downstream 连接解藕
      • 连接超时相关配置参数
        • idle_timeout
        • max_connection_duration
        • max_requests_per_connection
        • drain_timeout - for downstream only
        • delayed_close_timeout - for downstream only
      • Envoy 连接关闭后的竞态条件
        • Envoy 连接关闭后的竞态条件
    • Circuit Breaking(草稿)
      • 参考
    • Istio 与 Envoy 指标
      • Istio 与 Envoy 指标概述
        • Envoy 指标
        • Istio 指标
        • Envoy 指标的实现(草稿)
        • Envoy 请求与响应时序线上的指标
• Control Panel（未开始）
  • istiod
  • pilot-agent
• Istio 如何编程 Envoy（未开始）
• Istio/Envoy 性能
  • 我的一些文章
  • 影响性能的因素 - 设计容量
  • Benchmark
  • Analyzing Istio Performance
• Disruptions - 异常处理
  • worker node disruptions
• Observability - 可观察性
  • Ref
• Troubleshooting - 问题排查
  • Decrypt and Dump TLS Traffic - 解密与监听 TLS 流量
    • TLS key log feature
      • Envoy Key Log 配置
        • extensions.transport_sockets.tls.v3.TlsKeyLog
    • Decryption Tools
    • Key Log Format
    • Ref
  • TCP Proxy half-closed connection leak for 1 hour in some scenarios
    • Base knowledge
      • Conntrack base knowledge
      • TCP
      • Conntrack table
    • Environment
      • Testing POD
      • TCP service pod
      • enable conntrack’s invalid packet log on Testing POD
      • skills
        • nsenter network namespace
    • socket leak & occupy on FIN_WAIT2
      • 1. TCPProxy: connections ESTABLISHED
      • 2. TCPProxy: upstream service active close connection
      • 3. after 60s, conntrack table CLOSE_WAIT entry timeout
      • 4. app close connection - FIN not reach peer
  • App outbound connecting timed out because App selected a ephemeral port which collisions with the existing socket on 15001(outbound) listener
    • Base knowledge
      • TCP
        • TCP Challenge ACK
      • Conntrack table
    • Environment
      • Testing POD
      • TCP service pod
      • enable conntrack’s invalid packet log on Testing POD
    • New connection timeout
      • App build connection on the same ephemeral port
        • Case 1: connect timed out by collision ephemeral port
        • Case 2: connect by collision ephemeral port but seq-no happens to be in the TCP window of the old connection
    • Skills
• Istio 开发
  • Istio Data Plane
    • istio-proxy
      • 调试 Istio 网格中运行的 Envoy sidecar C++ 代码
        • 介绍
        • 我的动机
        • 环境架构
        • 环境说明
        • 环境搭建步骤
        • FAQ
        • 更 Cloud Native 的远程调试的方法
      • 调试与观察 istio-proxy Envoy sidecar 的启动过程
        • debug 初始化之难
        • Envoy 的启动 attach 方法
        • 附录 - 写给自己的一些备忘
  • Istio Control Plane
    • Debug Istiod
    • Istio 开发入门参考列表
      • 代码说明
      • 设计文档
      • 开发环境
      • Istio 项目健康监控
      • 论坛
      • 参与开发 Istio
        • 工作组

附录

附录

• 实验环境总述
  • 基础环境安装
    • 默认 namespace
    • 安装 istio
  • 安装工具服务
    • netshoot
    • httpbin
  • 配置 Shell 环境
    • istio gateway & node port
  • 实验环境列表
    • 简单分层实验环境
      • 安装过程
        • fortio