4、流量拓扑基础：服务网格中的虚拟服务（VirtualService）、目标规则（DestinationRule）、网关（Gateway）概念与配置

在服务网格（如 Istio）中，流量管理是核心能力之一。本章将深入解析构成流量拓扑的三个基础资源：虚拟服务（VirtualService）、目标规则（DestinationRule）和网关（Gateway）。理解这些概念是后续实施精细化安全策略（如 OPA 与 RBAC 集成）的前提。

4.1 核心概念与职责划分

这三个资源共同定义了“流量从哪里来、经过什么规则、到达哪个目标”的完整路径。它们各自承担不同的职责，协同工作以实现路由、负载均衡和流量入口控制。

4.2 虚拟服务（VirtualService）详解

虚拟服务是流量路由的核心。它通过匹配条件（match）将请求转发到特定的目标子集（subset）。一个虚拟服务可以包含多个路由规则，按优先级从上到下匹配。

4.2.1 典型配置结构

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews-vs
spec:
  hosts:
  - reviews
  http:
  - match:
    - headers:
        end-user:
          exact: jason
    route:
    - destination:
        host: reviews
        subset: v2
  - route:
    - destination:
        host: reviews
        subset: v1

• hosts：指定该虚拟服务作用于哪些目标服务（可以是 Kubernetes Service 名称或 FQDN）。
• match：定义匹配条件，支持 header、uri、method、queryParams 等。
• route：定义匹配成功后转发的目标，包括目标服务 host 和 subset（子集）。

4.2.2 路由权重与流量拆分

虚拟服务支持基于权重的流量分发，常用于金丝雀发布或 A/B 测试。

spec:
  hosts:
  - reviews
  http:
  - route:
    - destination:
        host: reviews
        subset: v1
      weight: 90
    - destination:
        host: reviews
        subset: v2
      weight: 10

4.3 目标规则（DestinationRule）详解

目标规则定义了流量到达目标服务后的行为策略。它通常与虚拟服务配合使用，为虚拟服务中引用的 subset 提供具体的配置。

4.3.1 子集（Subset）与标签选择

子集通过标签（labels）从服务的 Pod 中筛选出特定版本。

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews-dr
spec:
  host: reviews
  trafficPolicy:
    loadBalancer:
      simple: ROUND_ROBIN
    connectionPool:
      tcp:
        maxConnections: 100
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2
  - name: v3
    labels:
      version: v3

4.3.2 流量策略（Traffic Policy）

4.4 网关（Gateway）详解

网关是网格的边界，负责管理进入（Ingress）和离开（Egress）网格的流量。它定义了在网格边缘运行的负载均衡器应暴露哪些端口、接受哪些协议以及配置哪些 TLS 证书。

4.4.1 入口网关（Ingress Gateway）配置

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: bookinfo-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "bookinfo.example.com"
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      credentialName: bookinfo-credential
    hosts:
    - "bookinfo.example.com"

• selector：指定该网关配置应用于哪个具体的网关 Pod（通常由 Istio 默认部署的 istio-ingressgateway 承担）。
• servers：定义监听端口、协议和允许的主机名。
• tls：配置 TLS 终止模式（SIMPLE/MUTUAL/PASSTHROUGH）和证书引用。

4.4.2 网关与虚拟服务的绑定

网关本身只负责“放行”流量，具体的路由规则仍需由虚拟服务定义。通过将虚拟服务的 gateways 字段指向网关名称，实现绑定。

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: bookinfo-vs
spec:
  hosts:
  - "bookinfo.example.com"
  gateways:
  - bookinfo-gateway   # 绑定到上面定义的网关
  http:
  - match:
    - uri:
        prefix: /productpage
    route:
    - destination:
        host: productpage
        port:
          number: 9080

4.5 流量拓扑关系图

下图展示了网关、虚拟服务和目标规则在流量路径中的协作关系。

4.6 三者的协同工作流

一个完整的请求从外部进入网格到被服务处理，通常经历以下步骤：

1. 流量抵达网关：外部请求到达 Istio Ingress Gateway Pod。
2. 网关匹配：Gateway 资源检查请求的端口、协议和主机名，确认是否允许进入。
3. 虚拟服务路由：请求被转发到对应的 VirtualService。VirtualService 根据 match 规则（如 Header、URI）决定将请求路由到哪个目标服务的哪个 Subset。
4. 目标规则生效：在请求到达目标 Pod 之前，DestinationRule 中定义的负载均衡、连接池和 TLS 策略被应用。
5. 请求到达实例：最终请求被分发到符合 Subset 标签的 Pod 实例上。

4.7 常见配置陷阱与安全建议

4.8 本章小结