Tech on Huabing Blog

OpenClaw 不是玩具，我的个人助理 Jeff 已经开始“上班”了

Wed, 04 Mar 2026 00:00:00 +0000

先简单介绍一下 OpenClaw：它是一个开源、自托管的 AI Agent。你可以把它理解为“消息渠道”和“AI 执行能力”之间的统一中枢：一边连 Telegram、WhatsApp 等聊天软件，另一边连模型、工具、会话和记忆系统。

我给这个助手起名叫 Jeff，灵感来自电影《Finch》（2021，Tom Hanks 主演）里那个被训练来陪伴和协助人类的机器人。这个名字对我来说挺有象征意义：我希望它不是“回答机器”，而是一个能长期协作、持续进化的工作搭子。

对我来说，OpenClaw 最关键的不是“会聊天”，而是它能持续执行真实任务。

这段时间我做了一些配置，把它接进了我每天的工作流。在这篇文章里面简单和大家分享一下我使用 OpenClaw 的一些体会：

AI 帮助我成为 10X 工程师！

Sun, 18 Jan 2026 00:00:00 +0000

马来西亚滨城 Batu Ferringhi 海滩 Fire Show

最近关于 AI 编码的讨论实在是太火了，无论是在国外的 YouTube、X、Reddit，还是国内的微信视频号上，每天都能看到大量关于 AI 编程工具的体验分享。可说实话，作为一名还在一线写“工程化”代码的工程师，我认为很多分享内容都不是 “真正写代码的人” 写的，而是产品经理、AI 博主或者 AI 爱好者写的。虽然他们的内容非常有参考价值，但其实距离我自己每天真实面对的代码环境还是有点远。我想在这里聊聊作为一个在一线写“工程化”代码的工程师，我是如何在日常工作中使用 AI Coding Agent。

在 Ambient Mesh 中使用 Envoy Gateway 扩展 Redis 集群

Thu, 06 Nov 2025 00:00:00 +0000

爱心树，福州三坊七巷，摄于 2025 年夏

在我们此前的博文——《使用 Envoy Gateway 作为 Ambient Mesh 的统一入口网关和 Waypoint 代理》中，我们介绍了 Envoy Gateway 如何补足 Istio Ambient Mesh 在第七层（L7）能力上的空白，例如全局限流、熔断、OIDC 认证以及 xDS 动态配置。

Envoy AI Gateway 现已支持 Model Context Protocol

Mon, 06 Oct 2025 00:00:00 +0000

Envoy AI Gateway 现已支持 Model Context Protocol

我们很高兴地宣布，Envoy AI Gateway 的下一个版本将正式支持 Model Context Protocol（简称 MCP），让 Envoy AI Gateway（EAIGW）成为 AI 流量的通用入口。

Bringing Full L7 Power to Istio Ambient Mesh with Envoy Gateway

Thu, 24 Jul 2025 00:00:00 +0000

Surf Love, Taken in Pingtan County, Fuzhou, Fujian, China, Summer 2025

In this article, we’ll look at how you can use Envoy Gateway, an Envoy project open source solution, together with Istio when running in Ambient mode. This will allow you to easily leverage the power of Envoy’s L7 capabilities for Ingress traffic and east-west traffic in your mesh with easy-to-use CRDs.

To understand how this integration works, let’s first take a quick look at Ambient Mesh itself. Also known as Istio Ambient mode, it’s a sidecar-less service mesh architecture that aims to simplify deployments and can boost efficiency for specific use cases. Unlike sidecar-based meshes, Ambient splits the data plane into two key components: the ztunnel, which secures service-to-service communication, and the Waypoint Proxy, which handles Layer 7 traffic routing and policy enforcement.

Envoy Gateway Policies: Unlocking the Full Power of Envoy Proxy for API Gateways

Mon, 16 Jun 2025 00:00:00 +0000

This presentation will delve into Envoy Gateway’s API extensions: ClientTrafficPolicy, BackendTrafficPolicy, SecurityPolicy, and EnvoyExtensionPolicy. We’ll explore their practical applications in managing and securing edge traffic, showcasing advanced features like JWT authorization, rate limiting, OIDC integration, external processing, and WASM plugins.

Videos

YouTube

Slides

Istio Ambient 模式流量管理实现机制详解（一）

Mon, 26 May 2025 00:00:00 +0000

Istio ambient 模式采用了被称为 HBONE 的方式来连接 ztunnel 和 waypoint proxy。HBONE 是 HTTP-Based Overlay Network Environment 的缩写。虽然是一个新的名词，但其实 HBONE 并不是 Istio 创建出来的一个新协议，而只是利用了 HTTP 协议标准提供的隧道能力。简单地说，ambient 模式采用了 HTTP 的 CONNECT 方法在 ztunnel 和 waypoint proxy 创建了一个隧道，通过该隧道来传输数据。本文将分析 HBONE 的实现机制和原理。

Fixing High CPU Usage in VS Code

Fri, 16 May 2025 00:00:00 +0000

VS Code Constantly Freezing

I’ve been using VS Code for a long time, and it’s usually rock solid. Recently, though, I started working with the Remote-SSH extension to connect to a remote Ubuntu server — a more powerful machine I spun up in the cloud to offload dev workloads from my laptop.

But not long after, I noticed VS Code was frequently freezing, lagging, and even dropping SSH connections. The same thing was happening in Cursor and Windsurf, which makes sense since they’re both VS Code forks under the hood.

Envoy Gateway OIDC Authentication & Authorization Demo

Sun, 20 Apr 2025 00:00:00 +0000

In this demo, I’ll walk you through how to use Envoy Gateway’s SecurityPolicy to enforce OIDC authentication and authorization, using Amazon Cognito as the identity provider.

You’ll learn how to:

Set up Envoy Gateway in your Kubernetes cluster
Configure a Gateway + HTTPRoute for HTTPS traffic
Attach a SecurityPolicy to protect backend services
Validate JWT tokens and apply fine-grained access control

🎯 Everything is handled at the gateway layer — your backend stays clean and simple.

Securing the Gateway: A Deep Dive into Envoy Gateway's Advanced Security Policy

Fri, 04 Apr 2025 00:00:00 +0000

Envoy Gateway’s Security Policy simplifies access to Envoy’s robust security features, eliminating the need for users to navigate complex Envoy configurations. These features include CORS, JWT authentication, Basic Auth, OpenID Connect (OIDC), External Authentication (Ext Auth), and more. This session includes a demo showcasing OIDC authentication and authorization based on JWT claims, offering practical insights for enhancing application security—whether you’re an experienced Envoy user or new to open source.

Envoy Gateway v 1.2.0 版本发布：新功能与改进介绍

Tue, 05 Nov 2024 00:00:00 +0000

穿藏族服装的少女 - 理塘，甘孜

Envoy Gateway（本文中简称 EG）在 11 月 6 日发布了最新的 1.2.0 版本。该版本带来了一系列激动人心的新特性和改进，本文将为您一一介绍。

Beyond Gateway API: Introducing Envoy Gateway's Gateway API Extensions

Sat, 31 Aug 2024 00:00:00 +0000

Osaka City Skyline, Taken in Osaka, Japan, Summer 2024

This article is a summary of my talk,"Gateway API and Beyond: Introducing Envoy Gateway’s Gateway API Extensions¹", presented at KubeCon China in Hong Kong, August 2024.

As the official Gateway Controller for the Envoy, Envoy Gateway² provides full support for all the features of the Kubernetes Gateway API³.In addition, Envoy Gateway extends the Gateway API by introducing a range of enhancements for traffic management, security features, and custom extensions that go beyond the standard API. In this post, we’ll dive into these Envoy Gateway extensions and explore their use cases.

超越 Gateway API：深入探索 Envoy Gateway 的扩展功能

Sat, 31 Aug 2024 00:00:00 +0000

大阪的城市天际线 - 摄于日本大阪，2024 年夏

本文是我在 2024 年 8 月于香港举行的 Kubecon China 上的技术分享：Gateway API and Beyond: Introducing Envoy Gateway’s Gateway API Extensions¹ 的内容总结。

Highlights of Envoy Gateway v1.1.0: What’s New and Improved

Mon, 22 Jul 2024 00:00:00 +0000

Wall Art at In-N-Out Burger in Santa Clara, California

Envoy Gateway (EG) released its latest version, 1.1.0, on July 22. This update marks the first feature release since the 1.0 GA (General Availability) version and includes multiple new features and improvements. In this article, I will highlight some of the most important new features.

Wasm Extensions

In 1.1.0, EG introduces support for Wasm extensions in OCI image format through the EnvoyExtensionPolicy CRD. OCI images facilitate easier management of different versions of Wasm extension plugins and support private images for enhanced access control and security.

Envoy Gateway v 1.1.0 版本发布：新功能与改进介绍

Wed, 10 Jul 2024 00:00:00 +0000

In-N-Out Burger 餐馆墙上的装饰画（摄自加州 Santa Clara）

Envoy Gateway（本文中简称 EG）在 7 月 23 日发布了最新的 1.1.0 版本。1.1.0 版本 EG 在 1.0 GA （General Availability）版本后的第一个功能更新版本，包含了多个新特性和改进。本文将为大家介绍我认为其中最重要的几个新特性。

How to Get the Client’s “Real” IP Address with Envoy Gateway ?

Mon, 20 May 2024 00:00:00 +0000

Just as a river flows from its source through various bends before reaching the sea, a typical HTTP request travels from a client across multiple network hops until it reaches its destination server.

During this journey, the request’s original IP address is lost as it moves through multiple network infrastructures such as proxy servers and load balancers. This happens because some of these hops terminate the TCP connection and create a new TCP connection with the next hop. As a result, the receiving server only sees the IP address of its directly connected hop in the chain rather than the client’s original IP address.

如何通过 Envoy Gateway 得到客户端的真实 IP 地址？

Mon, 20 May 2024 00:00:00 +0000

前言

河水出昆仑，东流经玉门，环绝壁，历五山，南至积石，东流入海。其流也，或曲或直，时急时缓，遇山则环，逢谷则奔。渐行渐远，百折千回，至于中原，汇百川，泽九州。其道也，蜿蜒盘旋，绵延万里，波澜壮阔，历千古而不息。——《水经注》

使用服务网格和 Envoy Gateway 构建客户端的可用性和弹性

Sun, 07 Apr 2024 00:00:00 +0000

如何从客户端角度思考服务的可用性和弹性

这是一系列关于 Envoy Gateway 价值的文章之一，该网关已经达到了 1.0 版本的发布里程碑，可以投入生产使用。

在讨论可用性和弹性时，我们通常是从基础设施和服务的角度来探讨的。我们很少考虑是否可以在客户端采用某种方法来提高后端服务的“实际感知可用性”（即在客户端测量到的服务的可用性）。这主要是因为我们在大部分情况下都无法控制客户端与服务的交互方式。但实际上我们有办法对客户端和服务之间的交互进行控制，从而提高客户端对服务的“实际感知可用性”。

我提交的 PR 为何还没能合入？

Mon, 25 Mar 2024 00:00:00 +0000

我提交的 PR 为何还没能合入？如何才能更快地合入我的 PR ？ 相信这是很多参与开源项目的开发者常常遇到的疑问。

对于开发者来说，提交 PR（Pull Reques）是参与开源项目的主要方式。不管是修复一个故障，添加一个新功能，还是改进文档，我们都需要通过提交 PR 的方式将其合入到项目的主分支中。那么，我们提交的 PR 如何才能尽快地被项目接受呢？

Envoy Gateway 发布通用可用版本 1.0.0 ！

Fri, 15 Mar 2024 00:00:00 +0000

作者 Envoy Gateway 社区：Alice Wasko (Ambassador Labs), Arko Dasgupta (Tetrate), Congqi Zhu (CECloud), Guy Daich (SAP), Huabing Zhao (Tetrate), Jianpeng He (Tetrate), Xunzhuo Liu (Tencent)

今天，我们非常高兴地宣布 Envoy Gateway (EG) 1.0 版本现已面向 Kubernetes 发布。这是一个成熟的版本，已准备好大规模应用于生产环境，它简化了 Envoy 在南北向流量管理中的使用。

Envoy Gateway：十分钟搞定单点登录（SSO）！

Thu, 07 Dec 2023 00:00:00 +0000

单点登录（SSO）简化了用户体验，使用户能够在访问多个应用时只需一次登录。这提高了用户满意度，减少了密码遗忘的风险，同时增强了安全性。但是，实现单点登录并不容易，需要应用程序实现和认证服务器的交互逻辑，增加了应用程序的开发工作量。Envoy Gateway 在最新版本中的安全策略中提供了 OpenID Connect (OIDC) 的能力，采用 Envoy Gateway，无需对应用做任何修改，在十分钟内即可立刻实现单点登录。

Envoy Gateway 安全策略介绍: HTTP Basic Authentication

Wed, 29 Nov 2023 00:00:00 +0000

什么是 Envoy Gateway 安全策略？

Envoy Gateway 中的安全策略 (SecurityPolicy) 是 Envoy Gateway 对 Kubernetes Gateway API 的一个扩展资源。SecurityPolicy 采用了 Gateway API 的 Policy Attachment 机制来对 Gateway API 进行扩展，为 Envoy Gateway 实现了 CORS，JWT，OIDC，Basic Auth 等强大的安全能力。

Introduce MetaProtocol Proxy: A Layer-7 Proxy Framework Powered by Envoy

Thu, 16 Nov 2023 00:00:00 +0000

Even with Envoy’s powerful filter extension mechanism, writing a proxy for none-http protocols from scratch can be challenging. MetaProtocol Proxy solves this by abstracting layer-7 proxy with a concept called metadata and providing a “batteries included” framework that includes common traffic management capabilities: load balancing, circuit breaker, routing, rate limiting, fault injection, observability, etc. To write a layer-7 proxy for a new protocol, the only thing you need to do is implementing the codec interface.

KubeCon 芝加哥现场报道 - Envoy Gateway Maintainer Alice Wasko

Thu, 16 Nov 2023 00:00:00 +0000

Videos

Bilibili

YouTube

采访内容(待整理):

Huabing: I will introduce this interview first in Chinese, because the audience are from China. Envoy Gateway 社区的朋友大家好，我们今天有幸邀请到了 Envoy Gateway 的维护者，来自 Emissary 的 Alice。 Alice 从 Envoy Gateway 创建之初就参与了这个项目，今天很有幸能够在 KubeCon 现场对她进行采访。下面我将用英文对 Alice 进行采访。

KubeCon 芝加哥现场报道 - Istio 创始人 Varun Talwar 解密 Istio 开源背后的故事

Thu, 16 Nov 2023 00:00:00 +0000

Videos

Bilibili

YouTube

采访内容(译文): Huabing：你好， Varun，感谢你接受我们的采访。Varun Talwar 是著名开源项目 Istio 的创始人之一，也是硅谷科技初创公司 Tetrate.io 的联合创始人。那么 Varun，首先能不能给我们简单介绍一下你自己，以及你的背景？

KubeCon 芝加哥现场报道 - Istio 技术指导委员会成员 Lin Sun 分享 Istio 项目历史与未来展望

Thu, 16 Nov 2023 00:00:00 +0000

Videos

Bilibili

YouTube

采访内容(待整理):

Um OK. Let’s just switch the image. OK. Um I think you already give us a little bit of background and interaction on yourself. So I, I think it’s fair to say you are one of the founder, etcetera.

KubeCon 芝加哥现场报道 - Istio 社区核心维护者 John Howard 分享他高效的秘诀

Thu, 16 Nov 2023 00:00:00 +0000

Videos

Bilibili

YouTube

采访内容(待整理):

Huabing: OK, let’s welcome our superstar from Istio community. John Howard, Is my pronunciation correct?

The API Gateway in the Cloud Native Era

Wed, 01 Nov 2023 00:00:00 +0000

EnvoyProx 是云原生时代的代理之一，也是CNCF下的毕业项目之一。Envoy Gateway 是由 EnvoyProxy 的创始人 Matt Klein 发起的 API 网关项目。由我所在公司（Tetrate.io）以及 Emissary、Contour 等其他 API 网关项目共同维护。Envoy Gateway 作为 EnvoyProxy 发起的官方 API 网关项目，是基于 EnvoyProxy 的南北向 API 网关的官方实现，大大降低了使用 EnvoyProxy 的门槛，使用户不必重复“造轮子”来构建 EnvoyProxy 控制平面，并处理难以理解的复杂 xDS 协议和 EnvoyProxy 的配置。Envoy Gateway 使用 Kubernetes Gateway API 作为其配置，可以轻松启动管理南北向流量。Envoy Gateway 在多个社区和积极贡献者的推动下迅速发展。本主题将介绍为什么 Envoy Gateway 是云原生时代的 API 网关。

Aeraki Mesh 发布 1.4.0 版本（代号：Heshun）

Sun, 13 Aug 2023 00:00:00 +0000

Aeraki Mesh 于 2023 年 8 月 13 日发布 1.4.0 版本（版本代号：Heshun），本次发布的最主要的特性是支持了 Istio 1.18.x 系列版本。

备注：版本代号来自于这个夏天旅行的一个云南小镇 - 和顺古镇。和顺古镇位于云南省腾冲市，其历史可追溯至明代，迄今已有 600 年历史。其地理位置位于海拔 1500 米左右，气候温和，夏季气温 20 多度，是逃避夏日热浪的一个绝佳去处。除此之处，和其他很多古镇不同的是，该古镇有三千多常驻居民，是一个“活着的古镇”，居住在古镇中可以体验当地居民的日常生活，大家有机会可以去看看。

Aeraki Mesh 发布 1.3.0 版本（代号：Dragonboat）

Sat, 24 Jun 2023 00:00:00 +0000

Aeraki Mesh 于 2023 年 6 月 24 日发布 1.3.0 版本（版本代号：Dragonboat），该版本包含了对 Istio 1.16.x 系列版本的支持，以及支持多路复用，gateway 支持 MetaProtoco 等一系列重大的新增特性。

Database Mesh: Simplify Redis Cluster with Istio and Aeraki

Tue, 09 May 2023 00:00:00 +0000

Redis is a high-performing key-value database known for its versatility in supporting a diverse range of data structures and operations, including strings, hashes, lists, sets, and sorted sets. Its robust capabilities make it an ideal choice for caching, session storage, message brokers, and other similar applications.

Istio is one of the most popular service mesh platforms that provides a unified way to connect, secure, and manage microservices. Aeraki Mesh is a CNCF open-source project that works with Istio and enhances Istio’s capabilities by providing advanced traffic management for non-HTTP protocols including Thrift, Dubbo, Redis, and proprietary protocols.

Database Mesh: 使用 Istio 和 Aeraki 对 Redis 进行流量管理

Tue, 09 May 2023 00:00:00 +0000

Redis 是一种高性能的键值数据库，支持丰富的数据结构和操作，包括字符串、哈希、列表、集合、有序集合等。由于其强大的能力，Redis 被广泛应用于缓存、会话存储、消息代理等场景中。

为什么 Envoy Gateway 是云原生时代的七层网关？

Tue, 11 Apr 2023 00:00:00 +0000

初识 Envoy

大家好，我叫赵化冰，是 CNCF 云原生基金会大使，也是一个软件行业老兵和云原生从业者。我还记得，当我 2017 年在 Linux 基金会下的一个开源项目中从事微服务相关工作时，第一次从该项目的一个朋友那里了解到了 Istio/Envoy。从此以后，我就被 Istio/Envoy 的先进设计理念所吸引。我是国内最早一批从事 Istio/Enovy 产品研发的技术人员之一，在 2018 年就主导了 Istio/Envoy 的第一个产品化项目。在后续的工作中，我还研发了大规模 Kubernetes 集群上基于 Envoy 的多租户七层云原生网关，创建了基于 Envoy 的多协议七层网关开源项目 MetaProtocolProxy，以及基于 Envoy/Istio 的多协议服务网格开源项目 Aeraki Mesh（CNCF Sandbox 项目），该项目被腾讯、百度、华为等多个公司采用，在基于 Envoy 的网关和服务网格上支持了超过数十种应用协议。今天，我想和大家聊一聊 Envoy 生态中的新成员 Envoy Gateway，以及为什么我认为 Envoy Gateway 是云原生时代的七层网关。

Kubernetes Controller 机制详解（二）

Tue, 04 Apr 2023 00:00:00 +0000

在上一篇文章 Kubernetes Controller 机制详解（一）中，我们学习了 Kubernetes API List/Watch 机制，以及如何采用 Kubernetes client-go 中的 Informer 机制来创建 Controller。该方法需要用户了解 Kubernetes client-go 的实现原理，并在 Controller 的编码中处理较多 Informer 实现相关的细节。包括启动 InformerFactory，将 Watch 到的消息加入到队列，重试等等逻辑。如果有多个副本，还需要加入 Leader Election 的相关代码。如果需如果你创建了自定义的 CRD，可能还希望在创建资源时采用 webhook 对资源进行校验。这些功能都需要用户编写较多的代码。

Kubernetes Controller 机制详解（一）

Thu, 09 Mar 2023 00:00:00 +0000

Kubernetes(简称K8s) 是一套容器编排和管理系统，可以帮助我们部署、扩展和管理容器化应用程序。在 K8s 中，Controller 是一个重要的组件，它可以根据我们的期望状态和实际状态来进行调谐，以确保我们的应用程序始终处于所需的状态。本系列博文将解析 K8s Controller 的实现机制，并介绍如何编写一个 Controller。

Aeraki Mesh Community Meeting - February 23rd, 2023

Fri, 24 Feb 2023 00:00:00 +0000

During this community meeting, we introduced Aeraki Mesh’s newly released Access Log and Service Metrics features. We also invited experts from Boss Zhipin and Shopline to share hands-on examples of Dubbo based on Aeraki Mesh. Furthermore, we introduced the new features of multiplexing and Gateway support for the MetaProtocol application protocol, which are being contributed by the Tencent Games project and Boss Zhipin.

The Access Log and Service Metrics functionalities will help users better understand their network performance, troubleshoot issues, and optimize their applications. We’re excited to see how these new features will improve our users’ experiences with Aeraki Mesh.

Aeraki Mesh 社区例会 - 2023-02-23

Fri, 24 Feb 2023 00:00:00 +0000

本次社区会议介绍了 Aeraki Mesh 最新发布的 Access Log，Sevice Metrics 功能，并邀请了来自 Boss 直聘，Shopline 的专家分享基于 Aeraki Mesh 的 Dubbo 实操案例。此外，还介绍了来着腾讯游戏项目和 Boss 直聘正在贡献的多路复用和 Gateway 支持 MetaProtocol 应用协议的新特性。

深入理解 Istio Metrics

Tue, 14 Feb 2023 00:00:00 +0000

Istio 为 Service Mesh 中的微服务提供了非常丰富的统计指标（Metrics），这些指标可以让运维人员随时监控应用程序中服务的健康状况，在系统出现线上故障之前就发现潜在问题并进行处理。本文将介绍 Istio Metrics 的实现机制，以帮助读者深入了解其原理。

Aeraki Mesh 提供服务级别的 Metrics

Mon, 06 Feb 2023 00:00:00 +0000

在刚刚发布的最新版本 Aeraki Mesh 1.2.2 中 (对应 meta-protocol-proxy:1.2.3) ，Aeraki Mesh 提供了和 Istio 一致的服务级别指标，包括 istio_requests_total，istio_request_duration_milliseconds，istio_request_byte 和 istio_response_byte。标志着 Aeraki Mesh 为非 HTTP 协议提供的服务治理能力和 HTTP 协议完全对齐，完整覆盖了路由，调用跟踪，访问日志，服务指标等所有能力。

5分钟内将 Dubbo 服务接入 Istio 服务网格

Fri, 18 Nov 2022 00:00:00 +0000

幻灯片 Aeraki Mesh 官网 Dubbo 接入教程私有协议接入教程 Github

Istio Ambient 模式流量管理实现机制详解（三）

Mon, 17 Oct 2022 00:00:00 +0000

本文将继续介绍 ambient 模式下四层流量处理的实现机制。本文将以 bookinfo 应用中 productpage 访问 reviews 的请求路径为例来分析一个请求从 client 端发出到 server 端处理的四层流量处理流程。

reviews 有三个版本的 deployment，我们首先为 v1 和 v2 设置反亲和和亲和规则，以确保 reviews v1 和 productpage 部署在同一个 node 上，reviews v2 和 productpage 部署在不同 node 上，以模拟 client 和 server 分别处于相同 node 和不同 node 中这两种情况。

Istio Ambient 模式流量管理实现机制详解（二）

Thu, 29 Sep 2022 00:00:00 +0000

ambient 模式中，应用 pod 通过 ztunnel 之间的安全通道进行通信。要实现这一点，Istio 需要劫持应用 pod 的 outbound 和 inbound 流量，并转发到 ztunnel 进行处理。这是如何实现的呢？

Istio 采用了 iptables 规则和策略路由（Policy-based Routing）来将应用 pod 的流量转发到 ztunnel。下面我们以初探 Istio Ambient 模式中安装的 demo 为例来详细介绍 ambient 模式是如何对流量进行劫持，并转发到 ztunnel 中的。

采用 Aeraki Mesh 对 Dubbo 服务进行服务治理

Tue, 27 Sep 2022 00:00:00 +0000

Aeraki Mesh 官网 Dubbo 接入教程私有协议接入教程 Github

Try out Istio Ambient mode

Sat, 10 Sep 2022 00:00:00 +0000

Ambient is a new data-plane model that Istio has just announced support for. In this post, we will try to install Istio’s ambient model and use the bookinfo demo to experience the L4 and L7 capabilities offered by ambient.

Note: L4 refers to the four layers of the OSI standard network model, i.e., TCP layer processing. L7 refers to layer seven of the OSI standard network model, which is the application layer processing, generally referred to as HTTP protocol processing.

初探 Istio Ambient 模式

Sat, 10 Sep 2022 00:00:00 +0000

Ambient 是 Istio 刚刚宣布支持的一种新的数据面模式，在本篇文章中，我们将尝试安装 Istio 的 ambient 模式，并采用 bookinfo demo 来体验 ambient 提供的 L4 和 L7 能力。

备注： L4 指 OSI 标准网络模型的四层，即 TCP 层的处理。 L7 指 OSI 标准网络模型的七层，即应用层的处理，一般指的是 HTTP 协议的处理。

译文：Istio Ambient 模式安全架构深度解析

Fri, 09 Sep 2022 00:00:00 +0000

深入分析刚刚公布的 Istio ambient mesh（Istio 的一个无 sidecar 数据平面）对于服务网格的安全来说意味着什么。

我们最近发布了 Istio ambient mesh，它是 Istio 的一个无 sidecar 数据平面。正如公告博客中所说，我们使用 ambient mesh 解决的首要问题是简化操作、更广泛的应用兼容性、降低基础设施成本和提高性能。在设计 ambient 数据平面时，我们仔细地平衡操作、成本和性能的相关问题，同时避免牺牲安全或功能。由于 ambient 组件运行在应用 pod 之外，安全边界已经发生了变化–我们相信会更好。在这篇博客中，我们将详细介绍这些变化，并比较与 sidecar 部署模式的差异。

译文：重磅消息 - Istio 引入 Ambient Mesh 模式

Thu, 08 Sep 2022 00:00:00 +0000

译者按：Istio 于2022年9月7日宣布了一种全新的数据平面模式 “ambient mesh”（ambient 意思是“环境的”，这里指 ambient mesh 使用了环境中的共享代理而不是 sidecar，下文直接使用英文原文），简单地讲就是将数据面的代理从应用 pod 中剥离出来独立部署，以彻底解决 mesh 基础设施和应用部署耦合的问题。该变化是 Istio 自创建以来的第二次大的架构变动，也说明 Istio 社区在持续创新，以解决 service mesh 生产中面临的实际问题。

使用 Aeraki Mesh 实现零代码侵入的 Dubbo 服务调用跟踪

Tue, 06 Sep 2022 00:00:00 +0000

安装示例程序

如果你还没有安装示例程序，请参照快速开始安装 Aeraki，Istio 及示例程序。

执行完成后，在 meta-dubbo 这个 NS 中安装了基于 MetaProtocol 实现的 Dubbo 协议的示例程序。我们将采用该 Dubbo 示例程序来进行测试。Dubbo Demo 程序的调用关系为：dubbo-sample-consumer –> dubbo-sample-provider –> dubbo-sample-second-provider 。

MetaProtocol Proxy 代码解读：Connection Manager

Thu, 30 Jun 2022 00:00:00 +0000

ConnectionManager 是 MeataProtocol Proxy 的入口类。想要了解 MetaProtocol Proxy 的实现原理，可以从该类着手。

Envoy Network Filter 介绍

MetaProtocol Proxy 框架部分实现为 Envoy 中的一个 Network Filter。Enovy 通过 Listener 接收 Downstream 的连接，然后将收取到的 TCP 数据流发送给 TCP filter chain 中的 MetaProtocol Proxy 处理。

Aeraki Mesh 正式成为 CNCF 沙箱项目

Tue, 26 Apr 2022 00:00:00 +0000

6月15日，我创建的 Aeraki Mesh 项目通过了全球顶级开源基金会云原生计算基金会（CNCF）技术监督委员会评定，正式成为CNCF 沙箱项目！这意味着 Aeraki Mesh 得到了云原生开源社区的认可，而且加入 CNCF 也保证了项目的中立和开源开放，为 Aeraki Mesh 在云原生生态系统的进一步发展迈出了坚定的一步。

Tencent Music’s service mesh practice with Istio and Aeraki(Istio + Aeraki 在腾讯音乐的服务网格落地)

Tue, 26 Apr 2022 00:00:00 +0000

IstioCon 介绍

IstioCon 是 Istio 社区一年一度举行的全球线上峰会，此次峰会包含主题演讲、技术演讲、闪电演讲、研讨会和路线图会议等多种形态，聚焦社区新特性、生产落地案例、动手实战、社区生态发展等话题。

Areaki Mesh 在 2022 冬奥会视频直播应用中的服务网格实践

Wed, 30 Mar 2022 00:00:00 +0000

主题简介

服务网格已经成为微服务的基础设施，但目前主流的服务网格产品只能处理 HTTP 协议，不支持其他七层协议，是服务网格落地的主要困难之一。本次直播分享主要介绍腾讯云服务网格团队开源的 Aeraki Mesh 项目如何通过扩展 Istio 来支持 Thrift，Dubbo 等开源协议以及私有协议，并分享腾讯融媒体采用 Aeraki Mesh 支撑 2022 冬奥会视频直播的实践经验

Aeraki Mesh 加入 CNCF 云原生全景图

Wed, 02 Mar 2022 00:00:00 +0000

近日，Aeraki Mesh 正式进入 CNCF 云原生全景图，位于 Service Mesh 类别下。CNCF Landscape 在云原生实践过程中的每个环节帮助用户了解有哪些具体的软件和产品选择，Aeraki Mesh 进入 CNCF Landscape，意味着 Aeraki Mesh 正式成为了 CNCF 认可的构建云原生最佳实践中的一环。

How to Pass the Certified Kubernetes Administrator (CKA) Exam Without Any Stress?

Tue, 08 Feb 2022 00:00:00 +0000

The CKA exam is not that hard. You can pass the CKA exam in less than 3 months without any stress if you follow the steps in this post to prepare. You have my word. I’ve tried myself and just successfully get my CKA certificate!

How much time do I need to prepare for the CKA exam?

It depends, an experienced DevOps engineer could spend much less time than a newbie to prepare, but still get a high score in the exam. In general, I suggest spending 30 minutes to 1 hour to practice each day, and the preparation could last for 3 months if you don’t have much experience in K8s yet, or less if you have already worked with K8s for some time.

如何成功通过 CKA 考试？

Tue, 08 Feb 2022 00:00:00 +0000

了解 CKA 考察的内容

在开始准备考试前一定要阅读CNCF 官方考试大纲，了解 CKA 考察考生的主要内容，以在备考时做到知己知彼，有的放矢，根据该考试大纲进行针对性的准备和练习。该大纲会根据 K8s 的版本进行更新，但每个版本中涉及的考试内容变化不大，下面是我准备考试时的版本（v1.22）要求的主要内容：

Aeraki 教程系列：如何开发一个自定义协议？

Sun, 23 Jan 2022 00:00:00 +0000

MetaProtocol Proxy 提供了一个良好的协议扩展机制，使得我们可以基于 MetaProtocol Proxy 快速实现一个自定义协议的七层代理。

由于 MetaProtocol Proxy 已经实现了一个七层协议代理所需的大部分功能，包括七层负载均衡、RDS 动态路由、本地限流、全局限流、请求 Metrics 收集等，更多丰富的功能还在持续开发中。因此基于 MetaProtocol 进行开发极大简化了实现一个七层网络代理的工作，我们只需要实现编解码的少量代码，即可得到一个自定义协议的七层代理。一般来说，实现一个自定义协议只需要数百行代码。

Aeraki 教程系列：如何设置全局限流规则？

Thu, 13 Jan 2022 00:00:00 +0000

Aeraki 可以帮助你在服务网格中管理任何七层协议。目前 Aeraki 已经支持了 Dubbo、Thrit、Redis 等开源协议。你还可以使用 Aeraki 的 MetaProtocol 协议扩展框架来管理私有协议的七层流量。

Aeraki 教程系列：如何设置本地限流规则？

Wed, 12 Jan 2022 00:00:00 +0000

Aeraki 教程系列：如何设置路由规则？

Tue, 11 Jan 2022 00:00:00 +0000

译文：服务网格将使用 eBPF ？是的，但 Envoy 代理将继续存在

Sat, 18 Dec 2021 00:00:00 +0000

译者按：这篇博客非常清晰地阐述了目前很热的 eBPF 和 Service Mesh 的关系，并分别介绍 Envoy 在几种不同的数据平面架构模型中的位置，以及这几种架构模型各自的优势和权衡。最近我和同事以及社区的同学就引入 eBPF 之后 Service Mesh 的架构演进做了一些讨论，结论和 Solo 的这篇博客中的某些观点类似。作为 Linux 内核的一种扩展能力，eBPF 并不会替换 Envoy 的七层代理能力，而是作为 Service Mesh 数据面的一个增强技术。

Envoy 源码流程图

Wed, 11 Aug 2021 00:00:00 +0000

最近在实现 MetaProtocol 时阅读了 Envoy 相关的一些源码。这里将一些重要流程的时序图记录下来，以备后续查看。

TCP Proxy

TCP Proxy 时序图

Dubbo Proxy

Dubbo Proxy 时序图

RDS

RDS（路由发现服务）的代码包括下面三个主要的流程：

全栈服务网格 - Aeraki 助你在 Istio 服务网格中管理任何七层流量

Sat, 10 Jul 2021 00:00:00 +0000

主题简介

流量管理是 Istio 服务网格的核心能力，然而 Istio 缺省只提供了 HTTP 和 gRPC 两种协议的七层管理能力。对于微服务中常用的其他协议，包括 RPC、Messaging、Cache、Database等，Istio 只支持在四层上对这些协议进行处理。这导致我们将微服务应用迁移到 Istio 服务网格时，无法充分利用服务网格提供的流量管理能力。开源项目 Aeraki 提供了一个第三方协议的扩展框架，支持在 Istio 中对任意七层流量进行管理，提供动态路由、负载均衡、熔断等流量管理能力。本次分享将介绍如何使用 Aeraki 在 Istio 服务网格中管理任何七层协议，包括 Thrift，Dubbo，Redis，以及私有 RPC 协议等，并演示一个使用 Aeraki 管理第三方 RPC 协议的示例。

Istio 知识图谱

Fri, 02 Apr 2021 00:00:00 +0000

Mind Map

Istio
- 流量管理
  - Istio流量管理实现机制深度解析
  - Istio 流量管理原理与协议扩展
- 可见性
  - 实现方法级调用跟踪
  - 实现 Kafka 消息调用跟踪
- 协议扩展
- 故障定位
- 源码分析

腾讯云容器网络介绍

Wed, 24 Mar 2021 00:00:00 +0000

K8s 对于集群 Pod 的网络模型只有下面两点简单的要求：

节点上的 Pod 可以不通过 NAT 和其他任何节点上的 Pod 通信
节点上的代理（比如：系统守护进程、kubelet）可以和节点上的所有 Pod 通信

在实现该网络模型时，为了应对不同的使用场景，TKE（Tencent Kubernetes Engine）提供了 Global Router 和 VPC-CNI 两种网络模式。本文中，我们将通过这两种模式下数据包的转发流程来分析这两种模式各自的实现原理。本文还会对比分析不同网络模式下的网络效率和资源使用情况，以便于大家在创建 TKE 集群时根据应用对网络的需求和使用成本选择合适的网络模型。

How to Manage Any Layer-7 Traffic in an Istio Service Mesh?

Tue, 02 Mar 2021 00:00:00 +0000

备注：本文根据腾讯云赵化冰和知乎唐阳在 IstioCon 2021 中的演讲 “How to Manage Any Layer-7 Traffic in an Istio Service Mesh?” 整理而成。

大家好，今天我们想和大家分享的主题是如何扩展 Istio 以支持任何七层协议？作为云原生领域中一个人气非常高的开源项目， Istio 目前已经基本成为了 Service Mesh 的事实标准。腾讯云上也提供了基于 Istio 进行增强，和 Istio API 完全兼容的 Service Mesh 管理服务 TCM（Tencent Cloud Mesh），以帮助我们的用户以较小的迁移成本和维护代价快速利用到 Service Mesh 提供的流量管理和服务治理能力。今天非常高兴能够有这个机会来和大家一起分享一下我们在此过程中的一些经验。

Istio 流量管理原理与协议扩展

Mon, 07 Dec 2020 00:00:00 +0000

通过本次的分享，听众可以理解Istio流量管理背后的实现原理，包括控制面流量管理模型和数据面流量转发机制。本次分享还将介绍如何对Istio进行扩展，以支持更多地七层协议，如dubbo，thrift，redis等等。

CNBPS 2020：云原生应用架构专场介绍

Thu, 12 Nov 2020 00:00:00 +0000

11月19-21日，CNBPS 2020重磅回归！

作为一年一度的云原生科技盛会，众多云原生届的“顶流”将在这里聚集，展现云原生世界的科技想象力。

了解云原生趋势和最佳实践？来这一场就够了！

在 Istio 中实现 Redis 集群的数据分片、读写分离和流量镜像

Tue, 13 Oct 2020 00:00:00 +0000

Redis 是一个高性能的 key-value 存储系统，被广泛用于微服务架构中。如果我们想要使用 Redis 集群模式提供的高级特性，则需要对客户端代码进行改动，这带来了应用升级和维护的一些困难。利用 Istio 和 Envoy ，我们可以在不修改客户端代码的前提下实现客户端无感知的 Redis Cluster 数据分片，并提供读写分离、流量镜像等高级流量管理功能。

Istio 运维实战系列（3）：让人头大的『无头服务』-下

Sat, 19 Sep 2020 00:00:00 +0000

本系列文章将介绍用户从 Spring Cloud，Dubbo 等传统微服务框架迁移到 Istio 服务网格时的一些经验，以及在使用 Istio 过程中可能遇到的一些常见问题的解决方法。

Istio 运维实战系列（2）：让人头大的『无头服务』-上

Fri, 11 Sep 2020 00:00:00 +0000

Istio 运维实战系列（1）：应用容器对 Envoy Sidecar 的启动依赖问题

Sat, 05 Sep 2020 00:00:00 +0000

Google Cloud 服务网格：Traffic Director 与 Anthos Service Mesh 的左右互搏

Thu, 13 Aug 2020 00:00:00 +0000

作为开源 Service Mesh 明星项目 Istio 背后的主要厂商，Google 也在其公有云上推出了 Service Mesh 管理服务。让人迷惑的是 Google Cloud 上有两个 Service Mesh 产品：Traffic Director 与 Anthos Service Mesh。Google Cloud 首先在2019年3月发布了其第一个 Service Mesh 产品 Traffic Director，随后不久在2019 年9月紧接着发布了另一个 Service Mesh 产品 Anthos Service Mesh，随后两个产品独立并行发展，直到如今。

How to Integrate Your Service Registry with Istio?

Fri, 12 Jun 2020 00:00:00 +0000

Microservice is a powerful software architecture to escalate innovations, and many businesses have been adopting microservice for a long time. However, the transition from monolith to microservice comes with costs. Fundamentally, microservices are distributed systems, often in large scales, which bring the burden of networking such as service discovery, retry, circuit breaker, as well as the observability such as metrics, logging, and distributed tracing.

Istio helps microservices to offloads these common concerns to a dedicated infrastructure layer, so the microservices themselves can shift the burden of microservices to Istio, and focus on their own business logic. With all the promising benefits, more and more microservices projects begin to consider migrating their own microservices infrastructure to Istio.

如何将第三方服务中心注册集成到 Istio ？

Tue, 02 Jun 2020 00:00:00 +0000

作为云原生服务网格领域的热门开源项目，Istio 可以为微服务提供无侵入的流量管理、安全通信、服务可见性等服务治理能力。目前越来越多的微服务项目开始考虑将自己的微服务基础设施向 Istio 进行迁移。

一文带你彻底厘清 Isito 中的证书工作机制

Mon, 25 May 2020 00:00:00 +0000

在上一篇文章一文带你彻底厘清 Kubernetes 中的证书工作机制中，我们介绍了 Kubernetes 中证书的工作机制。在这篇文章中，我们继续探讨 Istio 是如何使用证书来实现网格中服务的身份认证和安全通信的。

一文带你彻底厘清 Kubernetes 中的证书工作机制

Tue, 19 May 2020 00:00:00 +0000

接触 Kubernetes 以来，我经常看到 Kubernetes 在不同的地方使用了证书（Certificate），在 Kubernetes 安装和组件启动参数中也需要配置大量证书相关的参数。但是 Kubernetes 的文档在解释这些证书的工作机制方面做得并不是太好。经过大量的相关阅读和分析工作后，我基本弄清楚了 Kubernetes 中证书的使用方式。在本文中，我将试图以一种比官方文档更容易理解的方式来说明 Kubernetes 中证书相关的工作机制，如果你也存在这方面的疑惑，希望这篇文章对你有所帮助。

数字证书原理

Thu, 19 Mar 2020 00:00:00 +0000

非对称加密

在传统的加密算法中，通信的双方会采用一个共享秘钥来对数据进行加密和解密。消息发送方先采用秘钥对明文进行加密然后再进行传送，待接收方收到消息后，再采用秘钥对密文进行界面，以得到明文。由于加密和解密采用的秘钥是相同的，这种加密算法也称为对称加密。采用对称加密的通信过程如下图所示：图片来源twilio

Linux network namespace， veth， birdge与路由

Thu, 12 Mar 2020 00:00:00 +0000

Network Namespace

A namespace wraps a global system resource in an abstraction that makes it appear to the processes within the namespace that they have their own isolated instance of the global resource. Changes to the global resource are visible to other processes that are members of the namespace, but are invisible to other processes. One use of namespaces is to implement containers. (摘录自Linux man page中对namespace的介绍)

Linux Tun/Tap 介绍

Mon, 24 Feb 2020 00:00:00 +0000

什么是Tun/Tap

在计算机网络中，TUN与TAP是操作系统内核中的虚拟网络设备。不同于普通靠硬件网路板卡实现的设备，这些虚拟的网络设备全部用软件实现，并向运行于操作系统上的软件提供与硬件的网络设备完全相同的功能。

Kubernetes 知识图谱

Sat, 22 Feb 2020 00:00:00 +0000

Mind Map

Kubernetes
- 基本理念
  - 自动化部署，缩扩容和管理容器应用
  - 预期状态管理(Desired State Management)
    - Kubernetes API 对象（声明预期状态）
    - Kubernetes Control Plane（确保集群当前状态匹配预期状态）
      - Kubernetes Master
        
        kube-apiserver（API Server）
        
        对外提供各种对象的CRUD REST接口
        
        对外提供Watch机制，通知对象变化
        
        将对象存储到Etcd中
        
        kube-controller-manager（守护进程）
        
        功能：通过apiserver监视集群的状态，并做出相应更改，以使得集群的当前状态向预期状态靠拢
        
        controllers
        
        replication controller
        
        endpoints controller
        
        namespace controller
        
        serviceaccounts controller
        
        ……
        
        kube-scheduler（调度器）
        
        功能：将Pod调度到合适的工作节点上运行
        
        调度的考虑因素
        
        资源需求
        
        服务治理要求
        
        硬件/软件/策略限制
        
        亲和以及反亲和要求
        
        数据局域性
        
        负载间的干扰
        
        ……
      - Work Node
        
        Kubelet（节点代理）
        
        接受通过各种机制（主要是通过apiserver）提供的一组PodSpec
        
        确保PodSpec中描述的容器处于运行状态且运行状况良好
        
        Kube-proxy（节点网络代理）
        
        在节点上提供Kubernetes API中定义Service
        
        设置Service对应的IPtables规则
        
        进行流量转发（userspace模式）
- 部署模式
  - Single node
  - Single head node，multiple workers
    - API Server，Scheduler，and Controller Manager run on a single node
  - Single etcd，HA heade nodes，multiple workers
    - Multiple API Server instances fronted by a load balancer
    - Multiple Scheduler and Controller Manager instances with leader election
    - Single etcd node
  - HA etcd，HA head nodes，multiple workers
    - Multiple API Server instances fronted by a load balancer
    - Multiple Scheduler and Controller Manager instances with leader election
    - Etcd cluster run on nodes seperate from the Kubernetes head nodes
  - Kubernetes Federation
- 商业模式
  - 云服务用户：避免使用单一云提供商导致的厂商锁定，避免技术和成本风险
  - 云服务厂商：使用Kubernetes来打破AWS的先入垄断地位，抢夺市场份额
- Workload
  - Pod
    - Smalleset deployable computing unit - Consist of one or more containers - All containers in a pod share storage, network namespacem and cgroup
  - Workload resources(Controllers)
    - Deployment & RelicaSet
      - Deployment is used to deploy stateless appliations.
      - ReplicaSet ensured a specified numbers of pod replicas are running at a given time.
      - Deployment is used to rollout/update/rollback ReplicaSet.
      - ReplicaSet is not supposed to be used directly, it should be managed by Deployments.
    - StatefulSet
      - StatefulSet is used to deploy stateful applications.
      - SetatefSet require a Headless Service to provide network identity for the pods.
    - DaemonSet
      - DaemonSet ensures that all(or some) Nodes run a copy of a Pod.
      - Use cases: cluster storage daemon, logs collection daemon, node monitoring daemon.
    - Job & CronJob
      - Job runs pods until a specified number of them have been succcessfully executed.
      - CronJob runs a job periodically on a given schedule.
- Storage
  - Volume
    - purpose
      - Persist data across the life span of a Pod
        
        Data won’t lost when a container is restarted
      - Share data between containers running together in a Pod
        
        Volume can be mounted to mutiple containers inside a Pod
    - type
      - configMap
      - emptyDir
      - hostPath
      - local
      - persistentVolumeClaim
- Policies
  - ResourceQuota
    - purpose
      - Limit the aggregated resource consumption of a Namespace
    - Scope
      - Namespaced: ResourceQuota is enforced in a Namespace scope, different Namespaces have different Resouce limit
    - Type
      - Compute Resource Quota
        
        CPU (limits.cpu requests.cpu)
        
        Memory (limits.memory requets.memory)
      - Storage Resource Quota
        
        Persistent Storage (storage)
        
        Ephemeral Storage (ephermal-storage)
      - Object Count Quota
        
        Limit of total number of Namespaced resources (count/services)
    - Request and Limit
      - Request: Resources that are guaranteed to get
      - Limit: The maximum amount of resources that one can get
- Network
  - Linux Network Virtualization
    - Linux tun/tap
  - Network Namespace
  - Veth Pair
  - Linux bridge
  - Vlan
  - Vxlan
    - Vxlan原理
    - Linux 上实现 vxlan 网络
  - Routing Protocol
    - Distance Vector Protocol
      - BGP
    - Link-State Protocol
      - OSPF
  - K8s Network
    - Service
      - Cluster IP
        
        Provides access in the cluster internally
        
        The ClusterIP range is defined in API server startup option -service-cluster-ip-range
        
        Service port is defined in the Service Manifest
      - NodePort
        
        Provides access at the node level
        
        The NodePort range is defined in API server startup option --service-node-port-range
      - LoadBalancer
        
        Provides an external IP to allow access from outside of the cluster
      - ExternalName
        
        An alias to an external service
        
        DNS redirection
      - Headless
        
        Define a Headless service: specify “None” in for the cluster IP(.spec.clusterIP)
        
        No cluster IP allocated to Headless services
        
        No load balancing and proxying for Headless service
        
        Kube dns returns the IP of the pods backing the service
    - Kube Proxy
      - Provides a proxy server or appliction-level gateway between localhost and the K8s API server
      - Handles locating the apiserver and authenticating (uses cluster configuration and user credential in .kube/config)
      - Can send requests to API server (for example: get the list of services in default namespace localhost:proxy-port/api/v1/namespaces/default/services)
      - Can send requests to services via url localhost:proxy-port/api/v1/namespaces/namespace_name/services/service_name[:port_name]/proxy/[application url]
    - Kubectl port-forward
      - Forward local ports to a pod
      - kebectl port-forward deployment/mydeployment localport:port
      - kebectl port-forward service/myservice localport:port
      - kebectl port-forward pod/mypod localport:port
    - Ingress
      - K8s Ingress
      - Istio Ingress Gateway
    - DNS
      - Service
        
        Normal Service
        
        A/AAA record which resolves name to the Cluster IP
        
        Name: my-svc.my-namespace.svc.cluster-domain.example
        
        Example: kubernetes.default.svc.cluster.local. 30 IN A 172.20.252.11
        
        SRV record for each named service port
        
        Name: _my-port-name._my-port-protocol.my-svc.my-namespace.svc.cluster-domain.example
        
        Example: _https._tcp.kubernetes.default.svc.cluster.local. 5 IN SRV 0 100 443 kubernetes.default.svc.cluster.local.
        
        A PTR record which resolves Cluster IP to domain name
        
        Example 1.252.20.172.in-addr.arpa. 5 IN PTR kubernetes.default.svc.cluster.local.
        
        Headless Service
        
        A/AAA record which resolves to the set of IPs of the pods selected by the service
        
        N*M SRV records (N pods, M named ports in service)
        
        A PTR record which resolves pod IP to domain name of each pod
        
        ExternalName
        
        A CNAME pointing to the domain name of the external service
      - Pod
        
        A/AAA record which resolves name to the pod IP
        
        General name
        
        Name: pod-ip-address.my-namespace.pod.cluster-domain.example
        
        Example: 172-20-0-57.default.pod.cluster.local. 3 IN A 172.20.0.57
        
        Pod created by Deployment or DaemonSet exposed by a Service
        
        pod-ip-address.deployment-name.my-namespace.svc.cluster-domain.example
      - CoreDNS
        
        Plugins
        
        errors: Erros are logged to stdout
        
        prometheus: Metrics of CoreDNS are available at http://localhost:9153/metrics in Prometheus format
        
        kubernetes: CoreDNS will reply to DNS queries based on IP of the services and pods of Kubernetes.
    - 腾讯云
      - Global Router
      - VPC-CNI
    - API Gateway+Service Mesh
    - Kubernetes CNI插件
      - Calico
- Scheduling
  - Algorithm: Predicate find a set of available nodes -> Priority select the best suitable node
    - Predicates: find available nodes through some conditions: check memory, cpu, disk, etc.
    - Priorities: select a node to run the scheduled pod: select the node with the least amount of pods by default
    - Policy: specify a number of predicates and priorities
  - Run a customscheduler
    - Policy: --policy-config-file
    - Name: --scheduler-name
  - Pod Specification: hits for pod scheduling
    - NodeName: assign pods to the named node
    - NodeSelector: assign pods to a group of nodes with particular labels
    - Affinity and anti-affinity:
      - Node
        
        Node affinity: has the same ability to constrain pods to particular nodes, but is more expressive and powerful
        
        Node anti-affinity: use NotIn and DoesNotExist to achieve node anti-affinity
      - Inter-Pod
        
        Inter-Pod affinity: co-locate some pods in the same nodes
        
        Inter-Pod anti-affinity: distribute some pods in different nodes
    - taints and tolerations
      - allow a node to repel a set of pods
      - allow pods to be scheduled onto nodes with matching taints
    - SchedulerName: choose a specific scheduler to schedule a pod
- Security
  - Background Knowledge
    - Certificate and PKI
    - Kubernetes 中使用到的证书
  - User Type
    - Service Account
      - Managed by Kubernetes
      - Represent workloads in the cluster
      - Bound to a specific namespace
    - Normal User
      - Managed out side of Kubernetes
      - Authenticated with a valid certicated signed by the cluster’s CA
        
        User name: Certificate subject Common Name field
        
        Group: Certificate subject Organization field
  - Authentication
    - Service account tokens for service accounts
    - Client certifications for normal users
    - Certifications for control plane components communication
    - Bootstrap Token for clusters and nodes bootstrapping
  - Authorization
    - RBAC
      - Namespace Scope
        
        Role
        
        RoleBinding (Associate users retrived from authentication process to Roles)
      - Cluster Scope
        
        ClusterRole
        
        CluseterRoleBinding (Associate users retrived from authentication process to ClusteRoles)
- Helm: package management tool for K8s applications
  - Chart: package all k8s manifests as a single tarball
    - Chart.yaml: this files contains metadata about this Chart: name, version, keywords
    - templeates: this directorey contains the resource manifests that makes up this application
      - deployment
      - services
      - secretes
      - …
    - values.yaml: this files contains keys and values that are used to generate the release. These values are replaced in the resource manifests using the Go template syntax
  - Repository: HTTP servers that contains charts
  - Helm commands
    - helm search hub redis: find redis chart and its repository in helm hub
    - helm sarch repo redis: find redis chart in repositories
    - helm install redis bitnami/redis: install redis chart
  - Extending the Kubernetes API
    - Custom Resource
      - CRD: Define custom resources
      - Custom Resources/Ojbects: Declare the desired spec of a custom resource
      - Custom Controllers: watch-loop to make sure the actual state meet the declared spec
    - Aggregated API Server
      - Deploy an extension API server
      - Register APIService objects
        
        Group: API groups this extension API server hosts
        
        Version: API version this extension API server hosts
      - kube-apiserver proxies client requests to the extension API server

Network Service Mesh: A Big Step Toward Cloud-Native NFV

Fri, 21 Feb 2020 00:00:00 +0000

When hearing about the term “Network Service Mesh” for the first time, you probably are as curious as I was: What exactly is it behind this fancy name? Does it have anything to do with Service Mesh/Istio? It turns out that Network Service Mesh is a sandbox project in the CNCF (Cloud Native Foundation), and it’s also a new hotspot in the cloud-native area. In this post, I’ll dive into the architecture and technical details of Network Service Mesh, and also explore the relationship between it and some other similar technologies you might get confused with, including Service Mesh, SDN, and NFV.

NFV迈向云原生时代：Network Service Mesh项目介绍

Sat, 15 Feb 2020 00:00:00 +0000

前言

当第一次看到Network Service Mesh这一名词时，你很可能和我一样好奇它到底是什么？是否和Service Mesh有什么关系？Network Service Mesh是云原生领域中一个新的热点，是CNCF（云原生基金会）中的一个沙箱项目。本文将介绍Network Service Mesh的起源和架构，并探讨其与Service Mesh、SDN、NFV等相关技术的区别与联系。

Istio流量管理实现机制深度解析

Thu, 12 Dec 2019 00:00:00 +0000

前言

Istio作为一个service mesh开源项目,其中最重要的功能就是对网格中微服务之间的流量进行管理,包括服务发现,请求路由和服务间的可靠通信。Istio实现了service mesh的控制面，并整合Envoy开源项目作为数据面的sidecar，一起对流量进行控制。

VIP的实现原理

Wed, 27 Nov 2019 00:00:00 +0000

什么是VIP？

VIP即Virtual IP Address，是实现HA（高可用）系统的一种方案，高可用的目的是通过技术手段避免因为系统出现故障而导致停止对外服务，一般实现方式是部署备用服务器，在主服务器出现故障时接管业务。 VIP用于向客户端提供一个固定的“虚拟”访问地址，以避免后端服务器发生切换时对客户端的影响。

What Can Service Mesh Learn from SDN?

Sat, 23 Nov 2019 00:00:00 +0000

Service Mesh is yet another emerging fancy tech word in the field of microservices recently. If you have a telecommunication or networking background, you may have already noticed that Service Mesh and SDN (Software Defined Network) look similar. Both of them use a software layer to manage and control the network infrastructure, and they also share the same architecture, which consists of a control plane and a data plane.

So what is the relationship between Service Mesh and SDN — Is Service Mesh the next generation of SDN? What can Service Mesh learn from the experience of SDN? I’d like to share some of my own opinions in this article.

如何降低Istio服务网格中Envoy的内存开销

Fri, 15 Nov 2019 00:00:00 +0000

Envoy的内存占用

在Istio服务网格中，每个Envoy占用的内存也许并不算多，但所有sidecar增加的内存累积起来则是一个不小的数字。在进行商用部署时，我们需要考虑如何优化并减少服务网格带来的额外内存消耗。

Service Mesher Meetup 成都站：Service Mesh是下一代SDN吗？

Sat, 26 Oct 2019 00:00:00 +0000

如果具有通信或者网络行业的知识背景，那么你对SDN(Software Defined Network)一定不会陌生。你也许已经注意到，近来在微服务领域兴起的Service Mesh和SDN(Software Defined Network) 非常相似，这两者都采用了软件对网络进行管理和控制，也都采用了包含控制面和数据面的类似架构。

Istio Pilot代码深度解析

Mon, 21 Oct 2019 00:00:00 +0000

Istio Pilot 组件介绍

在Istio架构中，Pilot组件属于最核心的组件，负责了服务网格中的流量管理以及控制面和数据面之间的配置下发。Pilot内部的代码结构比较复杂，本文中我们将通过对Pilot的代码的深入分析来了解Pilot实现原理。

Enhance Istio Distributed Tracing with OpenTracing

Wed, 11 Sep 2019 00:00:00 +0000

In the previous post, we discussed how to use Opentracing to help Istio Service Mesh to propagate tracing context across process boundaries, and how to enrich Istio/Envoy generated traces with method-level spans to get more fine-grained insights to the services.

For now, all that we have been talking is just about synchronous RPC (HTTP/REST), however, we can’t ignore the fact that asynchronous messaging is also widely adopted as an inter-services communication mechanism. So in this post, we will continue to use the eshop demo to explore how asynchronous messaging, specifically Kafka, can be traced in Istio service mesh with the help of Opentracing.

Enhance Istio Distributed Tracing with OpenTracing

Sat, 24 Aug 2019 00:00:00 +0000

While evolving towards a microservices architecture, the biggest change is that the monolith application has been divided into multiple independent processes(or services), as a result, a method call between software modules now becomes a remote procedure call go through multiple services.

A client request usually goes through a couple of or even a dozen of services in a complex microservices system, which makes it really hard to figure out what’s going on when a request fails or becomes slow.

洞若观火：使用OpenTracing增强Istio的调用链跟踪

Tue, 02 Jul 2019 00:00:00 +0000

在上一篇文章中，我们通过一个网上商店的示例程序学习了如何使用Opentracing在Istio服务网格中传递分布式调用跟踪的上下文，以及如何将方法级的调用信息加入到Istio/Envoy生成的调用链中。采用Opentracing可以减少应用代码中传递HTTP header的重复代码；也可以根据需要在调用链中加入更细粒度的Span，以用于对系统性能瓶颈进行在线分析。

开源，社区与朋友们

Tue, 25 Jun 2019 00:00:00 +0000

大会背景介绍

2019年6月24-26日，KubeCon + CloudNativeCon + Open Source Summit大会在上海世博中心举行。本次大会是由CNCF的LC3和Linux基金会的OSS两个大会合并而成的，因此规模空前甚大，估计有超过40多个国家，3000多名开发者参与会议。

洞若观火：使用OpenTracing增强Istio的调用链跟踪

Sat, 22 Jun 2019 00:00:00 +0000

分布式调用跟踪和Opentracing规范

什么是分布式调用跟踪？

相比传统的“巨石”应用，微服务的一个主要变化是将应用中的不同模块拆分为了独立的进程。在微服务架构下，原来进程内的方法调用成为了跨进程的RPC调用。相对于单一进程的方法调用，跨进程调用的调试和故障分析是非常困难的，很难用传统的调试器或者日志打印来对分布式调用进行查看和分析。如上图所示，一个来自客户端的请求经过了多个微服务进程。如果要对该请求进行分析，则必须将该请求经过的所有服务的相关信息都收集起来并关联在一起，这就是“分布式调用跟踪”。

Which One is the Right Choice for the Ingress Gateway of Your Service Mesh?

Tue, 16 Apr 2019 00:00:00 +0000

By default, in a Kubernetes cluster with the Istio service mesh enabled, services can only be accessed inside the cluster. However, some of the services may need to be exposed to external networks as well. Kubernetes and Istio provide a variety of means to get external traffic into your cluster including NodePort, LoadBalancer, Kubernetes Ingress and Istio Gateway. With all these options, which one should be the right choice for your service mesh running in production?

如何为服务网格选择入口网关？

Fri, 29 Mar 2019 00:00:00 +0000

在启用了Istio服务网格的Kubernetes集群中，缺省情况下只能在集群内部访问网格中的服务，要如何才能从外部网络访问这些服务呢？ Kubernetes和Istio提供了NodePort，LoadBalancer，Kubernetes Ingress，Istio Gateway等多种外部流量入口的方式，面对这么多种方式，我们在产品部署中应该如何选择？

Istio 服务注册插件机制代码解析

Mon, 18 Feb 2019 00:00:00 +0000

Istio服务注册插件机制

在Istio架构中，Pilot组件负责维护网格中的标准服务模型，该标准服务模型独立于各种底层平台，Pilot通过适配器和各底层平台对接，以使用底层平台中的服务数据填充此标准模型。

Git内部存储原理

Mon, 21 Jan 2019 00:00:00 +0000

Git是程序员工作中使用频率非常高的工具，要提高日常的工作效率，就需要熟练掌握Git的使用方法。相对于传统的版本控制系统而言，Git更为强大和灵活，其各种命令和命令参数也非常多，如果不了解Git的内部原理，要把Git使用得顺手的话非常困难。本文将用一个具体的例子来帮助理解Git的内部存储原理,加深对Git的理解，从掌握各种Git命令，以在使用Git进行工作时得心应手。

The obstacles to put Istio into production and how we solve them

Thu, 27 Dec 2018 00:00:00 +0000

What is service mesh?

Service mesh is becoming yet another fancy name in the cloud-native world this year. What exactly it is? By definition, service mesh is a dedicated infrastructure layer for handling service-to-service communication. It’s responsible for the reliable delivery of requests through the complex topology of services that comprise a modern, cloud-native application. Besides, it also facilitates the governance of services.

What is Istio?

Istio is an open-source service mesh project lead by Google, IBM and Lyft. As an open platform, Istio lets you connect, secure, control, and observe services.

Machine Learning Introduction

Mon, 24 Dec 2018 00:00:00 +0000

What is machine learning?

Two definitions of machine learning are offered.

Arthur Samuel version:
A field of study that gives computers the ability to learn without being explicitly programmed.

Tom Mitchell version:
A computer program is said to learn from experience E with respect to some task T and some performance measure P, if its performance on T, as measured by P, improves with experience E.

Example: playing checkers.

E = the experience of playing many games of checkers

拥抱NFV，Istio 1.1 将支持多网络平面

Wed, 19 Dec 2018 00:00:00 +0000

Istio 1.0版本只支持在单个网络，即Mesh中的服务只能连接在一个网络上。虽然在架构设计上是开放的，但从目前的代码来看，Istio的内部实现还是和Kubernetes高度集成的。由于Kubernetes集群中Pod缺省只支持一个网络接口，因此Istio也存在该限制并不让人意外。

Istio实战系列-Envoy Proxy构建分析

Mon, 29 Oct 2018 00:00:00 +0000

Istio由控制面和数据面组成。其中Envoy是Istio在数据面缺省使用的转发代理，Istio利用Envoy的四层和七层代理功能对网格中微服务之间的调用流量进行转发。今天我们来分析一下Istio 使用到的Envoy构建流程。

Istio微服务平台集成实践

Thu, 18 Oct 2018 00:00:00 +0000

前言

Istio发布1.0版本后，其服务发现和路由规则功能已基本具备production能力，我们也开始了Istio和公司内部微服务平台的集成工作，打算以Istio为基础打造一个微服务管控中心，在这里把目前的进展和遇到的坑和大家分享一下。

Secure ONAP Microservices with Istio Mutual TLS Authentication and RBAC

Wed, 15 Aug 2018 00:00:00 +0000

In the previous post Manage ONAP Microservices with Istio Service Mesh, we went through the steps of how to install Istio and integrate it with ONAP platform, it’s super simple and has nearly no impact to the existing projects. Now let’s enable Istio auth to secure the inter-service communication inside ONAP, it will need a little bit more efforts, but it’s worth with the benefits brought by it.

Manage ONAP Microservices with Istio Service Mesh

Wed, 01 Aug 2018 00:00:00 +0000

In the previous post How service mesh can help during the ONAP Microservice journey, we have discussed why the community wants ONAP to evolve towards Microservice architecture and how service mesh approach could help during the journey. Now it’s time to dip our toe in the water, let’s try out Istio with ONAP by following the below steps.

Installation

First, download installation scripts from ONAP Gerrit:

How service mesh can help during the ONAP Microservice journey

Fri, 22 Jun 2018 00:00:00 +0000

ONAP Beijing is available now!

ONAP, as part of LF Networking, now accounts for more than 65% of global subscriber participation through carriers creating a harmonized, de-facto open source platform.

While it’s so exciting to see that more operators are deploying ONAP in their commercial network, ONAP community realizes that there are still somewhere we can improve to smooth the deployment process. For example, instead of deploying ONAP as a whole, users may just want to pick some modules, integrate these modules with their existing system to get a customized ONAP solution. Actually, this is a very usual usage scenario in open source world. So it should be easy to tailor ONAP to suit the different scenarios and purposes for various users.

Istio v1aplha3 routing API介绍(译文）

Mon, 04 Jun 2018 00:00:00 +0000

到目前为止，Istio提供了一个简单的API来进行流量管理，该API包括了四种资源：RouteRule，DestinationPolicy，EgressRule和Ingress（直接使用了Kubernets的Ingress资源）。借助此API，用户可以轻松管理Istio服务网格中的流量。该API允许用户将请求路由到特定版本的服务，为弹性测试注入延迟和失败，添加超时和断路器等等，所有这些功能都不必更改应用程序本身的代码。

Bitcoin Script

Sun, 03 Jun 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Bitcoin Script is using to transfer coins instead of just signature and public key address, which allows more flexibilities for Bitcoin transactions.

A Standard Transaction

Let’s say Alice wants to spend some coins she received from a previous transaction, this is how the procedure looks like.

Alice receives some coins from a previous transaction. One of the outputs of that transaction specifies the public key of Alice to indicate that the coins in that output are transferred to Alice.

Actually, it’s the cryptographic hash of the public key in order to lower the risk that attacker might figure out the private key by the public key.

Istio 0.8 Release发布

Sat, 02 Jun 2018 00:00:00 +0000

在6月1日这一天的早上，Istio社区宣布发布0.8 Release，除了常规的故障修复和性能改进外，这个儿童节礼物里面还有什么值得期待内容呢？让我们来看一看：

Distributed Consensus

Sun, 27 May 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Incentives and Proof of Work

Sat, 26 May 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Incentive

The mechanism to motivate nodes join the Bitcoin network and create blocks.

Incentive 1: Block Reward

Creator of block gets to

include special coin-creation transaction in the block
choose reciptient address of this transaction (Of course, it is the miner’s address)

Explanation: Because the coin-creation transaction is just like other transaction in that block, it will only be valid if the created block ends up in the consensus chain, it’s the incentive which encourages the nodes to be honest, otherwise they can’t get their rewards.

Everything about Setting Up My Ubuntu Desktop

Thu, 24 May 2018 00:00:00 +0000

Generate SSH Key Pair

ssh-keygen -C "zhaohuabing@gmail.com"

Shadowsocks

Install shadowsokcs

sudo apt-get install python3-pip

sudo pip3 install shadowsocks

Create config at config/shadowsocks.json, with the following content:

{
	"server":"remote-shadowsocks-server-ip-addr",
	"server_port":443,
	"local_address":"127.0.0.1",
	"local_port":1080,
	"password":"your-passwd",
	"timeout":300,
	"method":"aes-256-cfb",
	"fast_open":false,
	"workers":1
}

Start a local socks proxy

sudo sslocal -c config/shadowsocks.json -d start

In case there is an openssl error, modify shadowsocks source file.

sudo vi /usr/local/lib/python3.6/dist-packages/shadowsocks/crypto/openssl.py

:%s/cleanup/reset/gc

Convert shadowsocks socks proxy to http proxy

sudo apt-get install polipo

echo "socksParentProxy = localhost:1080" | sudo tee -a /etc/polipo/config
sudo service polipo restart

Http proxy now is available at port 8123

微服务安全沉思录之三

Wed, 23 May 2018 18:00:00 +0000

外部系统访问控制

除用户访问和微服务之间的相互访问外，外部的第三方系统也可能需要访问系统内部的微服务。例如在上一篇博客的网上商店例子中，外部的推荐服务可能需要接入系统，以获取商店的商品目录信息。相对于内部服务之间的访问而言，外部系统的访问需要进行严格的安全控制。

微服务安全沉思录之二

Wed, 23 May 2018 15:00:00 +0000

服务间认证与鉴权

除来自用户的访问请求以外，微服务应用中的各个微服务相互之间还有大量的访问，包括下述场景：

用户间接触发的微服务之间的相互访问
例如在一个网上商店应用中，用户访问购物车微服务进行结算时，购物车微服务可能需要访问用户评级微服务获取用户的会员级别，以得到用户可以享受购物折扣。
非用户触发的微服务之间的相互访问
例如数据同步或者后台定时任务导致的微服务之间的相互访问。

根据应用系统的数据敏感程度的不同，对于系统内微服务的相互访问可能有不同的安全要求。

微服务安全沉思录之一

Wed, 23 May 2018 10:00:00 +0000

这段时间对之前微服务安全相关的一些想法进行了进一步总结和归纳，理清了在之前文章里面没有想得太清楚的地方，例如服务间的认证与鉴权以及用户身份在服务调用链中的传递。

Istio Sidecar自动注入原理

Wed, 23 May 2018 00:00:00 +0000

前言

Kubernets 1.9版本引入了Admission Webhook(web 回调)扩展机制，通过Webhook,开发者可以非常灵活地对Kubernets API Server的功能进行扩展，在API Server创建资源时对资源进行验证或者修改。

使用webhook的优势是不需要对API Server的源码进行修改和重新编译就可以扩展其功能。插入的逻辑实现为一个独立的web进程，通过参数方式传入到kubernets中，由kubernets在进行自身逻辑处理时对扩展逻辑进行回调。

Istio 0.7版本就利用了Kubernets webhook实现了sidecar的自动注入。

Programming Assignment: Scrooge Coin

Sun, 20 May 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Finally, I got to the most exciting part of week 1 lectures-the programming assignment!

Digital Signature and Public Key as Identities

Tue, 15 May 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Hash Pointers and Data Structures

Sat, 12 May 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Hash Pointer

Hash Pointer is comprised of two parts:

Pointer to where some information is stored
Cryptographic hash of that information The pointer can be used to get the information, the hash can be used to verify that information hasn’t been changed

Cryptographic Hash Function

Wed, 09 May 2018 22:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

Hash Function

Hash function is a mathematical function:H(X)=Y

H: A hash function which takes an input value and calculates an output value
X: Input of the hash function, it could be any data of any length
Y: Output of the hash function: a fix-size bit(, it can be 256, 384, 516 …, Bitcoin uses 256)

Introduction to crypto and cryptocurrencies

Sun, 06 May 2018 00:00:00 +0000

This series of articles are my notes of “Bitcoin and Cryptocurrency Technologies” online course.

How did I get into this?

I have noticed the buzzwords “Bitcoin” and “Blockchain” for a while. There are lots of articles, news, and talks around them. It seems that many people believe that cryptocurrency is the future of online payment, some even claim that blockchain would become the fundamental technology of the next generation of the Internet.

Helm介绍

Mon, 16 Apr 2018 15:00:00 +0000

前言

Helm是Kubernetes生态系统中的一个软件包管理工具。本文将介绍为何要使用Helm进行Kubernetes软件包管理，澄清Helm中使用到的相关概念，并通过一个具体的示例学习如何使用Helm打包，分发，安装，升级及回退Kubernetes应用。

Service Mesh 和 API Gateway的关系探讨（译文）

Wed, 11 Apr 2018 09:32:00 +0000

Service Mesh vs API Gateway

在前一篇关于Service Mesh的文章中,我提到了几个关于Service Mesh和API Gateway之间关系的问题，在本篇文章中，我打算就Service Mesh和API Gateway的用途进行进一步讨论。

谈谈微服务架构中的基础设施：Service Mesh与Istio

Thu, 29 Mar 2018 12:00:00 +0000

微服务架构的演进

作为一种架构模式，微服务将复杂系统切分为数十乃至上百个小服务，每个服务负责实现一个独立的业务逻辑。这些小服务易于被小型的软件工程师团队所理解和修改，并带来了语言和框架选择灵活性，缩短应用开发上线时间，可根据不同的工作负载和资源要求对服务进行独立缩扩容等优势。

另一方面，当应用被拆分为多个微服务进程后，进程内的方法调用变成了了进程间的远程调用。引入了对大量服务的连接、管理和监控的复杂性。

如何配置docker使用HTTP代理

Tue, 13 Mar 2018 18:00:00 +0000

Ubuntu

设置docker使用http proxy

sudo /etc/default/docker

export http_proxy="http://127.0.0.1:3128/"
export https_proxy="http://127.0.0.1:3128/"
export HTTP_PROXY="http://127.0.0.1:3128/"
export HTTPS_PROXY="http://127.0.0.1:3128/"

Vim Tips

Fri, 09 Feb 2018 11:00:00 +0000

vim graphical cheat sheet

Docker Tips

Fri, 09 Feb 2018 10:00:00 +0000

Allow none-root users

sudo groupadd docker
sudo gpasswd -a $USER docker
newgrp docker

Solve “no space left on device”

ubuntu

sudo vi /etc/docker/daemon.json

{
        "storage-driver": "devicemapper",
        "storage-opts": [
                "dm.basesize=40G"
        ]
}

Mac

Docker -> settings -> Resources -> Disk Image Size

如何构建安全的微服务应用？

Sat, 03 Feb 2018 12:00:00 +0000

前言

微服务架构的引入为软件应用带来了诸多好处：包括小开发团队，缩短开发周期，语言选择灵活性，增强服务伸缩能力等。与此同时，也引入了分布式系统的诸多复杂问题。其中一个挑战就是如何在微服务架构中实现一个灵活，安全，高效的认证和鉴权方案。本文将尝试就此问题进行一次比较完整的探讨。

Nginx开源Service Mesh组件Nginmesh安装指南

Tue, 02 Jan 2018 12:00:00 +0000

前言

Nginmesh是NGINX的Service Mesh开源项目，用于Istio服务网格平台中的数据面代理。它旨在提供七层负载均衡和服务路由功能，与Istio集成作为sidecar部署，并将以“标准，可靠和安全的方式”使得服务间通信更容易。Nginmesh在今年底已经连续发布了0.2和0.3版本，提供了服务发现，请求转发，路由规则，性能指标收集等功能。

如何从外部访问Kubernetes集群中的应用？

Tue, 28 Nov 2017 12:00:00 +0000

前言

我们知道，kubernetes的Cluster Network属于私有网络，只能在cluster Network内部才能访问部署的应用，那如何才能将Kubernetes集群中的应用暴露到外部网络，为外部用户提供服务呢？本文探讨了从外部网络访问kubernetes cluster中应用的几种实现方式。

使用脚本和定时任务自动设置windows HTTP 代理服务器

Thu, 23 Nov 2017 00:00:00 +0000

问题

我非常愿意在日程使用的工作工具上进行投资，好的工具可以提升效率，因为工具的问题导致思维中断非常让人沮丧。我在办公室使用一台ThinkPad笔记本，笔记本是公司发的，我自己花钱升级了SSD，内存，安装的是Win10，秒级启动，安装vagrant和virtualbox后，用Linux虚机进行开发也很顺手。但一个小代理服务器设置的小问题却影响了我使用笔记本处理事务的体验。

采用Istio实现灰度发布(金丝雀发布)

Wed, 08 Nov 2017 15:00:00 +0000

灰度发布（又名金丝雀发布）介绍

当应用上线以后，运维面临的一大挑战是如何能够在不影响已上线业务的情况下进行升级。做过产品的同学都清楚，不管在发布前做过多么完备的自动化和人工测试，在发布后都会出现或多或少的故障。根据墨菲定律，可能会出错的版本发布一定会出错。

使用Istio实现应用流量转移

Tue, 07 Nov 2017 00:00:00 +0000

关于Istio的更多内容请参考istio中文文档。

原文参见Traffic Shifting。

本任务将演示如何将应用流量逐渐从旧版本的服务迁移到新版本。通过Istio，可以使用一系列不同权重的规则（10%，20%，··· 100%）将流量平缓地从旧版本服务迁移到新版本服务。

Istio及Bookinfo示例程序安装试用笔记

Sat, 04 Nov 2017 12:00:00 +0000

服务网格简介

服务网格（Service Mesh）是为解决微服务的通信和治理而出现的一种架构模式。

服务网格将服务间通讯以及与此相关的管理控制功能从业务程序中下移到一个基础设施层，从而彻底隔离了业务逻辑和服务通讯两个关注点。采用服务网格后，应用开发者只需要关注并实现应用业务逻辑。服务之间的通信，包括服务发现，通讯的可靠性，通讯的安全性，服务路由等由服务网格层进行处理，并对应用程序透明。