4. Istio 核心资源对象：VirtualService、DestinationRule、Gateway、ServiceEntry、Sidecar 资源定义与作用

在 Istio 服务网格中，控制平面通过一组声明式 API 资源对象来定义流量管理、安全策略和可观测性行为。这些资源是网格运维人员与数据平面交互的核心接口。本章将深入剖析五个最关键的流量管理资源：VirtualService、DestinationRule、Gateway、ServiceEntry 和 Sidecar，并阐明它们在 API 延迟诊断与合规治理中的角色。

4.1 资源全景与职责划分

下表总结了五个核心资源在流量治理中的定位与主要职责：

4.2 VirtualService：流量路由的核心引擎

VirtualService 定义了如何将请求路由到目标服务。它通过匹配 HTTP 头部、URI、方法、端口等条件，将流量分发到不同的版本或子集。其核心字段包括：

• hosts：路由的目标服务名（如 reviews 或 reviews.default.svc.cluster.local）。
• http / tcp / tls：协议级别的路由规则列表。
• match：匹配条件（URI、header、method、queryParams）。
• route：目标子集与权重分配。
• timeout：请求超时时间，直接影响延迟 SLO。
• retries：重试次数与重试超时，用于应对瞬态故障。

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews-route
spec:
  hosts:
  - reviews
  http:
  - match:
    - headers:
        end-user:
          exact: jason
    route:
    - destination:
        host: reviews
        subset: v2
  - route:
    - destination:
        host: reviews
        subset: v1
      weight: 80
    - destination:
        host: reviews
        subset: v3
      weight: 20
    timeout: 3s
    retries:
      attempts: 2
      perTryTimeout: 1.5s

4.3 DestinationRule：后端策略的精细控制

DestinationRule 定义了到达目标服务后的行为，包括负载均衡策略、连接池设置、熔断器参数和 TLS 配置。它通常与 VirtualService 配合使用，VirtualService 决定“去哪”，DestinationRule 决定“怎么去”。

• trafficPolicy：全局流量策略（负载均衡、连接池、TLS）。
• subsets：基于标签的服务版本分组（如 v1、v2、v3）。
• connectionPool：TCP 连接数上限、HTTP 请求队列大小。
• outlierDetection：熔断检测（连续错误数、驱逐时间）。

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews-destination
spec:
  host: reviews
  trafficPolicy:
    loadBalancer:
      simple: LEAST_CONN
    connectionPool:
      tcp:
        maxConnections: 100
      http:
        http1MaxPendingRequests: 10
        http2MaxRequests: 1000
    outlierDetection:
      consecutive5xxErrors: 5
      interval: 30s
      baseEjectionTime: 60s
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2
  - name: v3
    labels:
      version: v3

4.4 Gateway：南北向流量的守门人

Gateway 管理进入或离开网格的流量。它配置在网格边缘的 Envoy 代理上，负责 TLS 终止、端口暴露、SNI 匹配等。Gateway 本身不定义路由规则，而是将流量委托给 VirtualService。

• servers：监听端口、协议、TLS 证书配置。
• selector：选择运行该 Gateway 的 Envoy 实例（通常通过标签匹配）。

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: bookinfo-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      credentialName: bookinfo-credential
    hosts:
    - "bookinfo.example.com"

4.5 ServiceEntry：外部服务的网格化注册

ServiceEntry 允许将网格外部的服务（如数据库、第三方 API、遗留系统）注册到 Istio 的服务注册表中，从而让网格内的服务能够通过一致的策略（超时、重试、mTLS）访问它们。

• hosts：外部服务的 DNS 名称。
• ports：暴露的端口与协议。
• resolution：DNS 解析模式（NONE、STATIC、DNS）。
• location：标记为 MESH_EXTERNAL 或 MESH_INTERNAL。

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: external-api
spec:
  hosts:
  - "api.external-service.com"
  ports:
  - number: 443
    name: https
    protocol: TLS
  resolution: DNS
  location: MESH_EXTERNAL

4.6 Sidecar：代理范围的精细化管控

Sidecar 资源用于控制 Envoy 代理的监听端口和主机接收范围。默认情况下，Sidecar 代理会接收网格内所有服务的流量。通过 Sidecar 资源，可以限制代理只处理特定命名空间或特定服务的流量，从而降低内存消耗、减少延迟抖动并缩小攻击面。

• workloadSelector：选择要应用该配置的工作负载（Pod 标签）。
• ingress：代理入站流量的监听端口与主机限制。
• egress：代理出站流量的主机白名单。

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: restrict-reviews
  namespace: default
spec:
  workloadSelector:
    labels:
      app: reviews
  egress:
  - hosts:
    - "default/ratings"
    - "istio-system/*"
  ingress:
  - port:
      number: 9080
      protocol: HTTP
      name: http
    defaultEndpoint: 0.0.0.0:9080

4.7 资源协作关系与延迟诊断链路

下图展示了五个核心资源在一条典型请求路径中的协作关系，以及每个环节对延迟的潜在影响：

4.8 合规治理策略映射

将上述资源映射到合规治理的四个关键维度，形成可审计的策略矩阵：