Opsi untuk penyiapan VM Compute Engine menggunakan deployment Envoy otomatis

Panduan ini memberi informasi tentang opsi dan tugas tambahan untuk deployment Envoy otomatis.

Opsi pembuatan template instance tambahan

Saat membuat template instance untuk deployment proxy Envoy otomatis, Anda Anda bisa menggunakan parameter berikut untuk menentukan beberapa aspek deployment dan perilaku {i>proxy<i}.

Misalnya, perintah gcloud berikut membuat template instance disebut proxy-it. Instance yang dibuat dari template ini memiliki proxy Envoy dan agen proxy layanan diinstal.

gcloud compute instance-templates create proxy-it \
    --service-proxy enabled

Dalam contoh berikut, template instance disebut proxy-it, Envoy {i>proxy<i} dan agen {i>service proxy<i} diinstal, porta layanan dan porta {i>proxy<i} telah disetel, pelacakan diaktifkan, dan label ditentukan.

gcloud compute instance-templates create proxy-it \
  --service-proxy enabled,serving-ports=8080,proxy-port=15001,tracing=ON \
  --service-proxy-labels version=canary

Diagram berikut mengilustrasikan alur traffic saat Anda menentukan penayangan port sebagai 8080. Koneksi TCP masuk ke porta 8080 dicegat oleh {i>iptables<i} dan dialihkan ke {i>proxy<i} Envoy, yang kemudian meneruskannya ke aplikasi di VM Anda yang memproses port TCP 8080. Selain itu:

• Semua koneksi keluar ke VIP layanan yang dikonfigurasi di Cloud Service Mesh dicegat oleh {i>iptables<i}, yang mengonfigurasi {i>netfilter<i}. {i>Netfilter<i} memastikan bahwa lalu lintas yang terkait yang melintasi tumpukan jaringan dicegat dan dialihkan ke {i>proxy<i} Envoy. Lalu lintas lalu lintas akan diseimbangkan berdasarkan bagaimana Anda mengonfigurasi Cloud Service Mesh.
• Semua koneksi masuk lainnya tidak dicegat oleh iptables, dan diteruskan dan layanan secara langsung di VM.
• Semua koneksi ke endpoint eksternal diteruskan langsung ke IP eksternal tanpa disadap.
• Semua traffic UDP diteruskan langsung ke tujuan tanpa dicegat oleh {i>iptables<i}.

Hal ini diilustrasikan dalam diagram berikut.

Arus traffic dalam diagram adalah sebagai berikut:

1. Traffic masuk dengan port tujuan 80, tidak dicegat dan dirutekan langsung ke layanan yang menangkap porta.
2. Traffic masuk dengan port tujuan 8080, dicegat dan dialihkan ke port pemroses Envoy.
3. Envoy meneruskan traffic dari (2) ke layanan 2 yang memproses port localhost 8080.
4. Traffic keluar yang ditujukan ke aturan penerusan Cloud Layanan Mesh VIP dan porta, dicegat dan dialihkan ke porta pemroses Envoy.
5. Envoy meneruskan traffic dari (4) ke endpoint backend tujuan Layanan backend Cloud Service Mesh.
6. Traffic keluar yang ditujukan ke VIP dan port Non-Cloud Service Mesh, bukan dicegat, dan diarahkan langsung ke layanan eksternal.

Menggunakan label

Jika Anda ingin menentukan label yang akan digunakan dengan metadata Cloud Service Mesh memfilter atau mengaktifkan pencatatan akses untuk proxy Envoy, gunakan Parameter --service-proxy-labels atau --service-proxy access-log.

Contoh:

gcloud compute instance-templates create td-vm-template-auto \
   --service-proxy enabled,access-log=/var/log/envoy/access.log,network=default \
   --service-proxy-labels myapp=review,version=canary

Proxy Envoy dapat mencegat port health check untuk layanan di VM. Jika Anda melakukannya, laporan pemeriksaan health check pada aplikasi Anda dan menggunakan {i>proxy<i}. Traffic tidak diarahkan ke VM jika proxy Envoy tidak berjalan dengan benar. Contoh:

gcloud compute instance-templates create td-vm-template-auto \
  --service-proxy=enabled,serving-ports="80;8080"

Menggunakan proses pembaruan grup instance terkelola

Jika Anda menggunakan proses otomatis untuk mengonfigurasi Dengan proxy Envoy, Anda dapat menggunakan proses update grup instance terkelola untuk memperbarui grup instance terkelola. Gunakan proses ini untuk:

• Menambahkan komponen proxy layanan ke grup instance terkelola yang ada dan mendaftarkannya di jaringan Cloud Service Mesh.
• Mengupdate komponen proxy layanan di VM.

Sebelum melakukan update berkelanjutan, lakukan hal berikut.

1. Menyetel penghentian koneksi di layanan backend ke nilai setidaknya selama 30 detik.
2. Gunakan parameter --min-ready, yang ditetapkan ke nilai 3 menit atau lebih, jika Anda sebut updater. Parameter --min-ready membuat instance terkelola grup menunggu setelah VM diperbarui sebelum melanjutkan pembaruan VM berikutnya. Tanpa ini, VM yang baru dibuat tidak punya waktu untuk mem-{i>booting<i} Envoy dan agen {i>proxy<i} layanan, dan pembaruan berlangsung terlalu cepat.

Untuk melakukan update berkelanjutan pada grup instance terkelola, ikuti langkah-langkah berikut langkah.

1. Buat template instance baru, seperti yang dijelaskan di atas, dengan proxy layanan tidak akurat atau tidak sesuai. Versi asli template instance dapat digunakan untuk update jika itu berisi informasi {i>proxy<i} layanan dan tujuan Anda adalah memperbarui ke versi stabil terbaru dari perangkat lunak {i>proxy<i}.
2. Lakukan update berkelanjutan pada grup instance terkelola. Pastikan bahwa Anda menetapkan REPLACE sebagai tindakan minimum yang harus dilakukan Updater. Grup instance menginstal perangkat lunak {i>proxy<i} versi terbaru dan mengkonfigurasinya sebagai yang ditentukan dalam template instance.

Anda juga dapat menghapus komponen proxy layanan dari grup instance terkelola menggunakan proses pembaruan:

1. Buat template instance baru tanpa menentukan flag --service-proxy.

2. Lakukan update berkelanjutan menggunakan proses update grup instance terkelola.

Tindakan ini akan menghapus proxy Envoy dari VM Anda. Jika grup instance terkelola tersebut satu-satunya MIG yang terpasang ke layanan backend, Anda mungkin ingin menghapus Konfigurasi Cloud Service Mesh yang Anda buat saat menyiapkan dan Cloud Service Mesh.