kubernetes - 使用 ServiceMesh 进行物理安全配置

Question

简介

Istio 等服务网格产品使用软件方法来提供强大的网络控制能力。您不仅可以完全控制网格内部，还可以完全控制从外部到网格内部的通信以及从网格内部到外部的通信。

从应用程序来看，这些完全是基础设施环境，但反过来，从节点等 VM 级别来看，它们是应用程序环境。

问题

我的问题是，一般来说，应该如何为虚拟机和节点等纯物理层配置网络安全？

以 Istio 为例，服务之间的通信是通过作为 Sidecar 插入的 Envoy 代理进行的。这种通信可以跨越节点。来自网格外部的通信使用网关进行控制。可以控制使用的端口和协议。

理想情况下，VM 和节点级别的网络设置应该对网格内部（Envoy 用于内部通信的端口是自动分配的，我不想控制它们）和网格外部的通信广泛开放。我了解您只需要配置所需的通信即可。

然而，这些可能是一个重大的管理负担。

标签： kubernetesistionetwork-securityservicemesh