什么是服务网格？

服务网格 是一个可配置的低延迟的基础设施层，目的是通过API（应用程序编程接口）处理应用程序服务之间的大量基于网络的进程间通信。服务网络确保容器化的短暂存在的应用程序的基础结构服务之间的通信快速，可靠和安全。网格提供关键功能，包括服务发现，负载平衡，加密，可观察性，可追溯性，身份验证和授权，以及对断路器模式【1】的支持。

服务网格是如何实现的呢？它通常会为每个服务实例提供一个称为 边车（sidecar） 的代理实例。 这些边车会处理服务间的通信，监控和安全相关的问题， 以及任何可以从各个服务中抽象出来的东西。这样，开发人员就可以专注于服务中应用程序代码的开发，支持和维护，而运维团队可以负责维护服务网格以及运行应用程序。

Istio，由Google，IBM和Lyft支持，是目前最着名的服务网格架构。 Kubernetes，最初由Google设计，是目前Istio支持的唯一容器编排框架。供应商正在寻求商业版本的Istio。如果Istio能添加到开源项目中，将会带来更大的价值。

Istio并不是唯一的选择，其他服务网格实现也在开发中。目前边车代理模式是最受欢迎的，例如Buoyant，HashiCorp，Solo.io等项目都使用了这种模式。与此同时，Netflix的技术套件使用了一种替代架构，他们使用了应用程序库（包含Ribbon，Hysterix，Eureka，Archaius）来提供服务网格功能，而Azure Service Fabric等平台在应用程序框架中嵌入了类似服务网格的功能。

服务网格包含一些专业术语来描述组件服务和功能：

• 容器编排框架 。随着越来越多的容器被添加到应用程序的基础架构中，用于监视和管理容器组的容器编排框架变得至关重要。
• 服务和实例（Kubernetes pods） 。实例是微服务的单个运行副本。有时实例是一个容器;在Kubernetes中，一个实例由一小组相互依赖的容器（称为pod）组成。客户端很少直接访问实例或pod，通常他们会访问服务，服务通常是一组可扩展且具有容错性的实例或pod（副本）。
• 边车代理。 边车代理 与单个实例或pod一起运行。 边车代理的目的是路由或者代理从容器发出或者接收的流量。 边车与其他边车代理进行通信，编排框架会管理这些边车。许多服务网格的实现会使用边车代理来拦截和管理实例或pod的所有进出流量。
• 服务发现。 当实例需要与不同的服务进行交互时，它需要找到 – 发现 – 其他服务的健康的，可用的实例。通常，这个实例会执行DNS查找来寻找其他服务的实例。容器编排框架保留实例列表（这些实例都可以正常接收请求），并且框架会提供DNS查询的接口。
• 负载均衡。 大多数编排框架已经提供了第4层（传输层）的负载均衡。服务网络实现了更复杂的第7层（应用层）负载均衡，具有更丰富的算法以及更强大的流量管理。同时可以通过API修改负载均衡的参数，从而可以编排蓝绿部署【2】或金丝雀部署【3】。
• 加密。 服务网格可以加密和解密请求和响应，因此每个服务不需要额外对请求进行加密，减少了负担。服务网格还可以通过优先重用现有的持久连接来提高性能，这减少新连接的创建（创建新连接十分耗费计算资源）。一般实现加密流量都是用双向TLS（mTLS），其中公钥架构（PKI，public key infrastructure）生成并分发证书和密钥，提供给边车代理使用。
• 身份验证和授权。 服务网格可以授权和验证从应用程序外部和内部发出的请求，仅向实例发送经过验证的请求。
• 支持断路器模式 【1】。服务网格可以支持断路器模式，这可以隔离不健康的实例，然后在安全的情况下逐渐将它们恢复并加入到健康的实例池中。

服务网格应用中管理实例之间的网络流量的的部分称为数据平面。另外有一个独立的控制平面负责生成和部署数据平面的配置（这个配置可以控制数据平面的行为）。控制平面通常包含（或被设计为连接到）一个API，命令行界面和用于管理app的图形用户界面。

服务网格中的控制平面在数据平面中边车代理上分发配置

服务网格架构的一个常见用例是在使用容器和微服务时解决非常苛刻的操作问题。微服务领域的先驱包括Lyft，Netflix和Twitter等公司，这些公司任何时间都能为全球数百万用户提供强大的服务。 （请参阅我们对 Netflix面临的一些架构挑战 的深入描述。）如果应用程序对这方面要求比较低，那么更简单的架构就足够了。

服务网格架构不可能解决所有应用程序操作和交付问题。架构师和开发人员可以选择多种工具，这些工具之中，有些是锤子，可以解决不同类型的问题，而另一些可能是钉子。例如，NGINX微服务参考架构包括几种不同的模型，这些模型提供了使用微服务来解决问题的一系列方法。

服务网格架构中的组成部分 – 例如：NGINX，容器，Kubernetes，以及微服务（作为架构方法），可以在非服务网格架构实现中高效地使用。例如，Istio是作为一个完整的服务网格架构开发的，但其模块化的设计意味着开发人员可以自由选择他们需要的部分组件技术。考虑到这一点，即使您不确定是否以及何时会完全实现服务网格应用程序，也值得深入了解一下服务网格概念。

注释：

【1】断路器模式:

一种设计模式。用以侦测错误，并避免不断地触发相同的错误（如维护时服务不可用、暂时性的系统问题或是未知的系统错误）。 https://zh.wikipedia.org/wiki/ 斷路器設計模式

【2】蓝绿部署（blue‑green deployment）：蓝绿部署是保留老版本，同时部署新版本然后进行测试，测试通过后，将流量切换到新版本，然后老版本同时也升级到新版本。

【3】金丝雀部署（canary deployment）：又叫做灰度部署，即选择部分部署新版本，将部分流量引入到新版本，新老版本同时提供服务。等待灰度的版本测试完毕，之后全量覆盖老版本。

原文链接： What Is a Service Mesh?

译者介绍：Grace，程序员，研究生毕业于SUNY at Stony Brook，目前供职于Linktime Cloud Company，对大数据技术以及数据可视化技术感兴趣。