Istio 服务网格精要 | AI生成和翻译
问题： Istio 全面介绍
回答：
什么是 Istio？
Istio 是最广泛采用的 open-source service mesh 平台。它提供了一种统一的方式来保障、安全连接、观察和管理微服务，而无需更改应用代码。
主要思想：
将横切关注点（traffic management、security、observability、policy enforcement）从应用代码中移出 → 移入专用的基础设施层。
核心架构
┌─────────────────────────────┐
│ Control Plane │
│ (istiod) │
│ ├─ Pilot (traffic) │
│ ├─ Citadel / CA (security)│ ← replaced by istiod in 1.6+
│ └─ Galley / Mixer (policy)│ ← mostly removed in 1.6+
└─────────────┬───────────────┘
│ xDS + gRPC
▼
┌─────────────┴───────────────┐ Sidecar pattern
│ Data Plane │
│ (Envoy proxy in each pod) │
└─────────────────────────────┘
▲ ▲
App Container App Container
从 Istio 1.6+ 开始，几乎所有功能都运行在单个二进制文件 istiod 中。
关键组件（2025 年视角）
| 组件 | 当前状态 | 主要职责 |
|---|---|---|
| istiod | 主要控制平面 | xDS config generation, certificate management, admission webhooks |
| Envoy | 数据平面代理 | L7 traffic routing, mTLS, telemetry, rate limiting, circuit breaking |
| istioctl | CLI 工具 | Install, analyze, debug, proxy-config dump |
| Kiali | 可选的可观测性 UI | Service graph, tracing integration, config validation |
| Prometheus | 通常捆绑 | Metrics collection |
| Grafana | 可选 | Dashboards |
| Jaeger / Zipkin | 可选 | Distributed tracing |
主要特性 — 2025 年视角
Traffic Management（最受欢迎的部分）
- 细粒度路由（基于权重、header、路径、mirror / shadow traffic）
- 流量切换 / canary / blue-green 部署
- Circuit breaking
- Outlier detection & ejection
- Retries + timeout + backoff
- Fault injection（delay、abort）– 非常适合 chaos engineering
- VirtualService + DestinationRule + Gateway + ServiceEntry + Sidecar
Security（默认零信任）
- 服务间 Automatic mTLS（非常强的卖点）
- 细粒度授权策略（AuthorizationPolicy、RequestAuthentication）
- JWT validation、RequestAuthentication + peerauthentication
- External CA 集成（Vault、AWS PCA 等）
- SDS（Secret Discovery Service）用于证书轮换
Observability（人们采用 Istio 的另一个主要原因）
- 开箱即用的 Golden signals（latency、traffic、errors、saturation）
- 丰富的 L7 metrics（response code、request size、upstream/downstream clusters…）
- Distributed tracing（自动 span context propagation）
- Access logs（可采样）
- Kiali + Grafana + Prometheus + Jaeger 栈
Multi-cluster & Multi-network 支持
- Primary-remote、replicated control plane、multi-primary 模型
- 跨集群服务发现
- 通过 SNI routing 的东西向流量
Gateway & Ingress / Egress
- Istio Ingress Gateway（基于 Envoy）
- 针对南北向流量的强大流量管理
- Egress gateway 用于受控的出站流量
典型安装规模（2025 年）
| 组件 | 典型请求/限制（sidecar） | 控制平面 |
|---|---|---|
| istio-proxy (Envoy) | 100–300 m CPU, 128–512 Mi memory | — |
| Application container | 不变 | — |
| istiod | — | 1–4 vCPU, 2–8 Gi |
→ 在 Envoy WasmFilter 和 Istio Ambient mode 实验后，sidecar 开销变得更加可接受。
Ambient Mesh（2024–2025 年主要方向）
Istio 正在向 sidecar-less / ambient mode 转型：
- ztunnel — 每个节点的 L4 代理（替换 sidecar 用于 mTLS & 基本路由）
- waypoint proxies — 仅针对需要高级路由/策略的服务可选 L7 代理
- 目标：将资源开销降低 50–80%，同时保留大部分特性
截至 2026 年初，ambient mode 在许多公司已生产就绪，但尚未成为默认。
何时使用 Istio（2025 年现实检查）
强烈适合的情况：
- ≥ 30–50 个微服务
- 多个团队独立部署
- 需要严格的 mTLS / 授权
- 高级流量控制（canaries、fault injection、traffic mirroring）
- 希望无需更改每个应用即可获得可观测性
- Multi-cluster 或混合云策略
较弱适合的情况：
- 服务数量非常少（<10）
- 极度延迟敏感的工作负载（< 1 ms）
- 已使用其他成熟 service mesh（Linkerd、Consul Connect）
- 团队拒绝任何 sidecar/ambient 开销
快速比较 2025 年
| 特性 / Mesh | Istio (sidecar) | Istio Ambient | Linkerd | Consul Connect |
|---|---|---|---|---|
| mTLS 默认 | Yes | Yes | Yes | Yes |
| L7 路由丰富度 | ★★★★★ | ★★★★ | ★★★ | ★★★★ |
| 资源开销 | High | Medium–Low | Low | Medium |
| 开箱即用可观测性 | Excellent | Very good | Good | Good |
| 学习曲线 | Steep | Steep | Moderate | Moderate |
| 社区 & 生态系统 | Largest | Growing | Strong | Strong (HashiCorp) |
入门指南（2025–2026 年最常见路径）
# 最小安装（适合学习）
istioctl install --set profile=demo -y
# 带 ambient preview 的生产级安装
istioctl install --set profile=ambient -y
# 或使用 Helm / operator
最受欢迎的后续步骤：
- 启用自动 sidecar 注入
- 为公共 ingress 创建 Gateway + VirtualService
- 开启 mTLS（PeerAuthentication STRICT）
- 部署 Kiali + Prometheus + Grafana + Jaeger
- 开始尝试流量切换 & fault injection
截至 2026 年，Istio 仍是当你需要最丰富特性集并愿意接受其复杂性时的 de-facto industry standard service mesh。
参考资料：
- Istio Official Documentation
- Istio Ambient Mesh Overview
- Istio vs Linkerd Comparison (CNCF perspective)