13. Service Mesh 服务网格

Thu, 13 Aug 2026 14:13:00 +0800

Service Mesh 通过在应用旁注入 Sidecar 代理，接管所有网络通信，实现流量管理、安全通信和可观测性，无需修改业务代码。

1. 架构

App Pod:
 ┌─────────────┐
 │ Application │ 业务代码，只与 localhost 通信
 └──────┬──────┘
 │ localhost
 ┌──────┴──────┐
 │ Envoy │ Sidecar 代理：路由/负载均衡/mTLS/遥测
 └──────┬──────┘
 │ 网络

2. Istio 核心组件

组件	功能
istiod	控制平面：Pilot（配置分发）、Citadel（证书）、Galley（配置验证）
Envoy	数据平面：Sidecar 代理
Ingress Gateway	入口网关
Egress Gateway	出口网关

2.1 流量管理

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
 name: reviews-route
spec:
 hosts:
 - reviews
 http:
 - match:
 - headers:
 end-user:
 exact: jason
 route:
 - destination:
 host: reviews
 subset: v2
 - route:
 - destination:
 host: reviews
 subset: v1
 weight: 75
 - destination:
 host: reviews
 subset: v2
 weight: 25

2.2 熔断配置

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
 name: reviews-circuit-breaker
spec:
 host: reviews
 trafficPolicy:
 connectionPool:
 tcp:
 maxConnections: 100
 http:
 http1MaxPendingRequests: 50
 maxRequestsPerConnection: 10
 outlierDetection:
 consecutiveErrors: 5
 interval: 30s
 baseEjectionTime: 30s

2.3 mTLS 自动加密

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
 name: default
 namespace: istio-system
spec:
 mtls:
 mode: STRICT  # 强制 mTLS

3. 与 Spring Cloud 对比

维度	Spring Cloud	Istio
语言绑定	Java 为主	语言无关
侵入性	需引入 SDK	零侵入
功能	齐全（配置/注册/熔断）	侧重网络层
部署	应用内	Sidecar 独立
性能损耗	低	中（Sidecar）
复杂度	中	高

4. Sidecarless 趋势

Ambient Mesh (Istio)：ztunnel 节点代理 + waypoint proxy，减少 Sidecar 资源消耗
Cilium Service Mesh：eBPF 在内核层处理，性能更高

总结

已有 Spring Cloud 微服务：增量引入 Istio 补充 mTLS 和流量管理
全新云原生项目：直接上 Service Mesh
资源敏感场景：考虑 Ambient Mesh 或 Cilium

ServiceMesh on PlumePHP

13. Service Mesh 服务网格

1. 架构

2. Istio 核心组件

2.1 流量管理

2.2 熔断配置

2.3 mTLS 自动加密

3. 与 Spring Cloud 对比

4. Sidecarless 趋势

总结