4. 环境搭建与工具链：部署 Gateway API 控制器与延迟诊断工具

本章聚焦于构建 Gateway API 延迟诊断的完整实验环境。你将学习如何部署主流的 Gateway API 控制器（以 Istio 和 Contour 为例），并安装从网络抓包到指标监控的全链路诊断工具链。正确的环境搭建是后续性能调优与资源配额协同实践的基础。

4.1 环境拓扑与工具链总览

下图展示了本章将搭建的核心组件及其在延迟诊断中的角色。数据平面（Envoy/Contour）处理实际流量，控制平面（Istiod/Contour Controller）下发配置，诊断工具链从不同层次捕获延迟数据。

4.2 部署 Gateway API 控制器

Gateway API 控制器负责将 GatewayClass、Gateway、HTTPRoute 等资源转换为数据平面的具体配置。本节以 Istio 和 Contour 为例，展示两种主流控制器的部署方式。

4.2.1 部署 Istio 作为 Gateway API 控制器

Istio 从 1.16 版本开始原生支持 Gateway API。推荐使用 istioctl 进行安装，并启用 Gateway API CRD。

# 下载并安装 istioctl
curl -L https://istio.io/downloadIstio | sh -
cd istio-1.22.0
export PATH=$PWD/bin:$PATH

# 安装 Istio，启用 Gateway API 支持
istioctl install --set profile=default -y

# 验证 Gateway API CRD 是否安装
kubectl get crd | grep gateway
# 预期输出：gatewayclasses.gateway.networking.k8s.io
#          gateways.gateway.networking.k8s.io
#          httproutes.gateway.networking.k8s.io

4.2.2 部署 Contour 作为 Gateway API 控制器

Contour 是专为 Envoy 设计的轻量级 Gateway API 控制器，部署简单且资源占用低。

# 使用 Helm 部署 Contour
helm repo add bitnami https://charts.bitnami.com/bitnami
helm install contour bitnami/contour \
  --namespace projectcontour \
  --create-namespace \
  --set envoy.serviceType=LoadBalancer

# 验证 Contour 是否就绪
kubectl get pods -n projectcontour
# 预期输出：contour-controller-xxx   1/1   Running
#          contour-envoy-xxx         2/2   Running

4.2.3 控制器对比

4.3 安装延迟诊断工具链

延迟诊断需要从网络层、传输层、应用层和指标层四个维度收集数据。以下工具覆盖了完整的诊断链路。

4.3.1 网络抓包工具：tcpdump + Wireshark

tcpdump 用于在网关 Pod 或节点上捕获实时数据包，Wireshark 用于离线分析 pcap 文件。这是定位握手延迟、重传、丢包等问题的核心手段。

# 在网关 Pod 上安装 tcpdump（基于 Envoy 镜像）
kubectl exec -it deploy/contour-envoy -n projectcontour -- bash
apt-get update && apt-get install -y tcpdump

# 捕获网关入站流量（端口 8443）
tcpdump -i eth0 -s 0 -w /tmp/gateway-traffic.pcap port 8443

# 将 pcap 文件拷贝到本地，用 Wireshark 分析
kubectl cp projectcontour/contour-envoy-xxx:/tmp/gateway-traffic.pcap ./gateway-traffic.pcap

4.3.2 指标监控：Prometheus + Grafana

Prometheus 负责采集 Envoy 暴露的延迟指标（如 envoy_cluster_upstream_rq_time），Grafana 提供可视化仪表板。

# 使用 Prometheus Operator 快速部署
helm repo add prometheus-community https://prometheus-community.github.io/helm-charts
helm install prometheus prometheus-community/kube-prometheus-stack \
  --namespace monitoring \
  --create-namespace

# 配置 Envoy 指标暴露（以 Contour 为例）
kubectl annotate service contour-envoy -n projectcontour \
  prometheus.io/scrape="true" \
  prometheus.io/port="8002"

# 验证指标是否被采集
kubectl port-forward -n monitoring svc/prometheus-operated 9090:9090
# 浏览器访问 http://localhost:9090，查询：envoy_cluster_upstream_rq_time

4.3.3 mTLS 证书链验证

mTLS 握手延迟是 Gateway API 延迟的重要来源。需要安装证书链验证工具，用于诊断 TLS 握手阶段的耗时。

# 使用 openssl 验证证书链
openssl s_client -connect gateway.example.com:443 -showcerts

# 使用 istioctl 验证 mTLS 状态（Istio 环境）
istioctl proxy-status
istioctl experimental authz check .

4.4 验证环境连通性

部署完成后，需要验证整个链路是否正常工作。以下步骤确保 Gateway API 资源、数据平面和诊断工具均已就绪。

1. 创建测试 Gateway 和 HTTPRoute 资源：部署一个简单的 echo 服务，通过 Gateway 暴露。
2. 验证流量可达：使用 curl 或 httpbin 发送请求，确认返回 200。
3. 检查 Prometheus 指标：确认 envoy_cluster_upstream_rq_time 等延迟指标已出现。
4. 抓包验证：在网关 Pod 上运行 tcpdump，确认能捕获到请求数据包。

# 部署测试服务
kubectl create deploy echo --image=hashicorp/http-echo -- --text="hello gateway"
kubectl expose deploy echo --port=80

# 创建 Gateway 资源
cat <<EOF | kubectl apply -f -
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: test-gateway
spec:
  gatewayClassName: contour
  listeners:
  - name: http
    protocol: HTTP
    port: 80
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: echo-route
spec:
  parentRefs:
  - name: test-gateway
  rules:
  - backendRefs:
    - name: echo
      port: 80
EOF

# 验证连通性
GATEWAY_IP=$(kubectl get svc contour-envoy -n projectcontour -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
curl -H "Host: echo.example.com" http://$GATEWAY_IP
# 预期输出：hello gateway

4.5 工具链集成架构

下图展示了诊断工具链与 Gateway API 控制平面、数据平面的集成关系，以及数据流路径。

4.6 环境验证清单

完成部署后，使用以下清单逐项确认环境就绪，避免后续调优时因环境问题导致误判。