3. 服务发现与DNS代理：多集群服务发现原理、DNS代理配置、跨集群服务路由

3.1 多集群服务发现的核心挑战

在单集群 Service Mesh 中，服务发现依赖控制面（如 Istiod）从 API Server 获取 Service/Endpoint 变更，并通过 xDS 协议推送给数据面 Sidecar。当扩展到多集群时，服务发现面临以下根本性变化：

3.2 多集群服务发现原理

主流 Service Mesh（Istio、Consul Connect、Kuma）均采用控制面聚合 + 数据面按需拉取的架构。以 Istio 多集群 Primary-Remote 模型为例，其服务发现流程如下：

1. 端点采集：每个集群的 Istiod 监听本地 Service/Endpoint 变更。
2. 跨集群同步：Primary 集群 Istiod 通过 Remote Secret 访问 Remote 集群 API Server，拉取远程端点信息；或通过 Mesh Federation 协议交换。
3. 全局端点合并：Primary Istiod 将本地与远程端点合并为统一 ServiceEntry，附加集群标签（cluster_name）和地域标签（region/zone）。
4. xDS 推送：Primary Istiod 将合并后的端点列表通过 EDS（Endpoint Discovery Service）推送给所有数据面 Sidecar。
5. 本地 DNS 代理：Sidecar 内置的 DNS 代理拦截应用 DNS 查询，返回虚拟 IP（VIP）或直接返回端点 IP 列表。

3.3 DNS 代理配置

Service Mesh 的 DNS 代理位于 Sidecar 内部，拦截容器内所有 DNS 查询（默认监听 127.0.0.1:15053 或 :15053）。其核心配置项如下：

在 Istio 中，DNS 代理通过 MeshConfig 或 ProxyConfig 启用：

apiVersion: v1
kind: ConfigMap
metadata:
  name: istio-mesh-config
  namespace: istio-system
data:
  mesh: |-
    defaultConfig:
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: "true"
        ISTIO_META_DNS_PORT: "15053"
    dns:
      capture: true
      rateLimit: 100
      ttl: 30s
      searchNamespaces:
        - global
        - svc.cluster.local

3.4 跨集群服务路由

跨集群路由依赖全局服务条目（ServiceEntry）和地域感知负载均衡（Locality-Aware LB）。典型配置流程如下：

1. 定义 ServiceEntry：将远程集群的服务端点注册为 Mesh 内部服务。
2. 附加集群标签：在端点元数据中标记 cluster_name、region、zone。
3. 配置 DestinationRule：设置负载均衡策略（如 ROUND_ROBIN）和地域权重。
4. 启用 DNS 代理：确保 Sidecar 能解析跨集群服务名。

以下是一个跨集群路由的 DestinationRule 示例：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: service-a-dr
  namespace: default
spec:
  host: service-a.global
  trafficPolicy:
    loadBalancer:
      localityLbSetting:
        enabled: true
        distribute:
          - from: region-a/zone-1/*
            to:
              "region-a/zone-1/*": 80
              "region-b/zone-1/*": 20
  subsets:
    - name: v1
      labels:
        version: v1
    - name: v2
      labels:
        version: v2

3.5 多集群 DNS 代理最佳实践

• 统一搜索域：所有集群使用 global 作为跨集群服务后缀（如 service-a.global），避免命名冲突。
• 缓存与 TTL 平衡：跨集群链路延迟较高，建议 TTL 设为 30-60 秒，减少 DNS 查询频率；但不要超过 120 秒，否则端点变更收敛慢。
• 健康检查联动：DNS 代理应配合 Outlier Detection，当远程集群端点异常时，自动从 DNS 响应中移除，避免客户端重试。
• 故障域隔离：在 DestinationRule 中设置 failoverPriority，优先路由到同 region 端点，region 故障时再跨 region 切换。