Extending service mesh capabilities using a streamlined way based on WASM and ORAS Xi Ning Wang

主要内容总结

• Envoy Filter Chain 扩展

  • 使用 xDS API 动态配置 L4 和 L7 过滤器。
  • 实际示例中使用的 Envoy Filters 包括 http.wasm、cors、fault 等。

• 添加新 Filter 的方式

  • 内置 Filter 和社区提供的 Filter：通过 Envoy 官方文档获取。
  • 自定义开发：分为静态预编译和动态运行时加载两种方式。
    • 静态预编译：将过滤器集成到 Envoy 源代码中，编译新的 Envoy 版本。这种方法需要维护 Envoy 版本。
    • 动态运行时加载：使用 WebAssembly 技术，无需重新编译 Envoy，提高灵活性。

• WebAssembly (Wasm) 在 Envoy 代理中的优势

  • 优点：
    • 敏捷性：动态加载过滤器。
    • 可维护性：扩展功能无需更改 Envoy 基础代码库。
    • 多样性：支持多种编程语言。
    • 可靠性和隔离性：WASM 过滤器在 VM 沙箱中运行，不会影响 Envoy 进程。
    • 安全性：通过预定义 API 与 Envoy 代理通信，访问有限数量的连接或请求属性。
  • 缺点：
    • 性能略低于 C++ 编写的原生静态编译的过滤器。
    • 启动 Wasm 虚拟机会消耗一定内存。
    • WebAssembly 生态系统尚处于初期阶段。

• Wasm 在 Envoy 代理中的配置

  • 使用 Wasm 进行动态加载。
  • 一致性校验：通过 proxy-wasm/spec 进行。

• OCI Registry 作为存储

  • ORAS API/SDK 库用于构建自定义工具，支持将 WebAssembly 模块推入或拉出 OCI 注册库。
  • 使用 oras CLI 类似于 docker CLI。

• 在阿里云服务网格 ASM 中使用 Wasm

  • 配置 Wasm 过滤器的生命周期管理。
  • 启用 Wasm 部署功能，使用 aliyun servicemesh UpdateMeshFeature 命令。
  • 创建私钥仓库登录 Secret，使用 kubectl create secret generic 命令。

• ASMFilterDeployment 资源对象

  • 创建 ASMFilterDeployment CustomResource。
  • 更新 Deployment，以 hostpath 方式挂载 Wasmfilter 文件到 Proxy 容器。

• 总结与建议

  • 开发阶段：使用 Wasm SDK 生成 Wasm 二进制文件，使用 oras CLI 与 OCI 镜像仓库交互。
  • 部署运行阶段：确认 IstioEnvoyFilter CR 是否正确生成，检查 Wasm 过滤器是否生效。