Size: a a a

2020 December 21

VZ

Vladimir Zemtsov in Istio_ru
или я не понял
источник

VS

Vasilyev Sergey in Istio_ru
А ентри не нужно воспринимать как какую-то сущность. Она нужна только для того чтобы сказать: истио - трафик вот на этот хост теперь управляем тобой. И все.
А на счёт VS - я как до компуктера дойду - скину. Но там все просто - смотрите в хедеры и если это Википедия, то в дестинейшн указываете адрес прокси
источник

VS

Vasilyev Sergey in Istio_ru
Ну на самом деле с ентри все конечно же чуть сложнее, но суть не меняется
источник

VZ

Vladimir Zemtsov in Istio_ru
Все равно логики не понимаю.
Я понимаю как настроить VS для igressa и входящего трафика. Но как настроить VS для роута изнутри... Только если через egress gateway, но это уже получаются громоздко
источник

4

4c74356b41 in Istio_ru
мне кажется для этого нужен дестенейшн руле, а не вс
источник

VZ

Vladimir Zemtsov in Istio_ru
4c74356b41
мне кажется для этого нужен дестенейшн руле, а не вс
Тоже не очень понятно как. DS вроде нужен для дополнительных роутов и записей DNS Внутри кубера, а не на наружний прокси (или куда-то там)
источник

4

4c74356b41 in Istio_ru
а я не помню уже, сорямба
источник

4

4c74356b41 in Istio_ru
ща у меня есть истио, но он там чисто для галочки, по сути, никаких почти настроек нет пока
источник

VS

Vasilyev Sergey in Istio_ru
Vladimir Zemtsov
Тоже не очень понятно как. DS вроде нужен для дополнительных роутов и записей DNS Внутри кубера, а не на наружний прокси (или куда-то там)
У вас трафик из поды уже https? или http
источник

VZ

Vladimir Zemtsov in Istio_ru
Vasilyev Sergey
У вас трафик из поды уже https? или http
из пода https
источник

VS

Vasilyev Sergey in Istio_ru
apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
 name: wiki-egress
spec:
 hosts:

 - wikipedia.org
 - proxy.server.ip

 ports:
 - number: 443
   name: https
   protocol: HTTPS
 resolution: DNS

---

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
 name: wiki-egress

spec:
 hosts:
 - wikipedia.org
 gateways:
 - mesh
 tls:
 - match:
   - gateways:
     - mesh
     port: 443
     sniHosts:
     - wikipedia.org
   route:
   - destination:
       host: proxy.server.ip
       port:
         number: 443
источник
2020 December 22

VZ

Vladimir Zemtsov in Istio_ru
Роутинг теперь работает.
HTTP-трафик спокойно ходит через прокси, а вот с HTTPS проблема:
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to wikipedia.org:443

Получается istio использует свои политики mTLS и подставляет сертифкаты.
Попробовал отключить:
---
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
 name: wikipedia-org
 namespace: test
spec:
 mtls:
   mode: DISABLE

---
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
 name: wikipedia-org
 namespace: test
spec:
 host: wikipedia.org
 trafficPolicy:
   portLevelSettings:
   - port:
       number: 443
     tls:
       mode: DISABLE
   - port:
       number: 3128
     tls:
       mode: DISABLE

Однако не помогло и ошибка сохранилась. Как побороть этот SSL_ERROR_SYSCALL?
источник

SW

Smith Wesson in Istio_ru
Конференция
IstioCon 2021

⏰ 22 - 25 февраля 2021

IstioCon 2021 станет первой конференцией Istio, самой популярной Service Mesh.

👉 https://bit.ly/3nG4Dz5
#istio
источник

VS

Vasilyev Sergey in Istio_ru
Vladimir Zemtsov
Роутинг теперь работает.
HTTP-трафик спокойно ходит через прокси, а вот с HTTPS проблема:
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to wikipedia.org:443

Получается istio использует свои политики mTLS и подставляет сертифкаты.
Попробовал отключить:
---
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
 name: wikipedia-org
 namespace: test
spec:
 mtls:
   mode: DISABLE

---
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
 name: wikipedia-org
 namespace: test
spec:
 host: wikipedia.org
 trafficPolicy:
   portLevelSettings:
   - port:
       number: 443
     tls:
       mode: DISABLE
   - port:
       number: 3128
     tls:
       mode: DISABLE

Однако не помогло и ошибка сохранилась. Как побороть этот SSL_ERROR_SYSCALL?
Хмм. Беда с этим мтлс. Его крайне трудно дебажить. Но ошибка явно в нем. Повышаете логи до трэйса в контейнере сайдкара и смотрите на что он ругается
источник

VS

Vasilyev Sergey in Istio_ru
Это можно сделать курлом
источник

VS

Vasilyev Sergey in Istio_ru
Vasilyev Sergey
Хмм. Беда с этим мтлс. Его крайне трудно дебажить. Но ошибка явно в нем. Повышаете логи до трэйса в контейнере сайдкара и смотрите на что он ругается
А вам прокси подконтролен? Что там в логах?
источник

VZ

Vladimir Zemtsov in Istio_ru
Vasilyev Sergey
А вам прокси подконтролен? Что там в логах?
неподконтролен(
источник

VS

Vasilyev Sergey in Istio_ru
Vladimir Zemtsov
неподконтролен(
Поднимайте свой сквид и пробуйте воспроизвести проблему. Было бы здорово увидеть с каким сертом вы приходите в прокси. Если всё ещё с мтлс, то значит вы не все отрубили и где-то истио накладывает полисю и все ломает
источник

TM

Tigran M in Istio_ru
кто шарит как мне добавить секрет из файла в уже существующий секрет через kubectl
источник

TM

Tigran M in Istio_ru
типа вот есть в опеншифте секрет
источник