本指南演示了在服务网格内的客户端使用 OSM 的 Egress 功能访问外部的目标，以便在没有 Egress 策略的情况下将流量传递到未知目标。

先决条件

  • Kubernetes 集群运行版本 v1.22.9 或者更高。
  • 已安装 OSM。
  • 使用 kubectl 与 API server 交互。
  • 已安装 osm 命令行工具，用于管理服务网格。

HTTP(S) 网格出口的透传演示

  1. 如果没有启用全局出口透传，将其开启。

    1. export osm_namespace=osm-system # Replace osm-system with the namespace where OSM is installed
    2. kubectl patch meshconfig osm-mesh-config -n "$osm_namespace" -p '{"spec":{"traffic":{"enableEgress":true}}}'  --type=merge

  2. 在 curl 命名空间下部署 curl 客户端，并将该命名空间纳入网格中。

    1. # Create the curl namespace
    2. kubectl create namespace curl
    4. # Add the namespace to the mesh
    5. osm namespace add curl
    7. # Deploy curl client in the curl namespace
    8. kubectl apply -f https://raw.githubusercontent.com/openservicemesh/osm-docs/release-v1.2/manifests/samples/curl/curl.yaml -n curl

    确认 curl 客户端 pod 启动并运行。

    1. $ kubectl get pods -n curl
    2. NAME                    READY   STATUS    RESTARTS   AGE
    3. curl-54ccc6954c-9rlvp   2/2     Running   0          20s

  3. 确认 curl 客户端可以成功发送 HTTPS 请求到 httpbin.org 的 443 端口。

    1. $ kubectl exec -n curl -ti "$(kubectl get pod -n curl -l app=curl -o jsonpath='{.items[0].metadata.name}')" -c curl -- curl -I https://httpbin.org:443
    2. HTTP/2 200
    3. date: Tue, 16 Mar 2021 22:19:00 GMT
    4. content-type: text/html; charset=utf-8
    5. content-length: 9593
    6. server: gunicorn/19.9.0
    7. access-control-allow-origin: *
    8. access-control-allow-credentials: true

    200 OK 响应说明 curl 客户端请求 httpbin.org 网站的 HTTPS 请求成功了。

  4. 当网格出口禁用，确认 HTTPS 请求失败。

    1. kubectl patch meshconfig osm-mesh-config -n "$osm_namespace" -p '{"spec":{"traffic":{"enableEgress":false}}}'  --type=merge
    1. $ kubectl exec -n curl -ti "$(kubectl get pod -n curl -l app=curl -o jsonpath='{.items[0].metadata.name}')" -c curl -- curl -I https://httpbin.org:443
    2.   curl: (7) Failed to connect to httpbin.org port 443 after 3 ms: Connection refused
    3.   command terminated with exit code 7