Criando uma URL de gateway em clusters Clássicos

1. Configure o host de entrada do Istio.

   export INGRESS_IP=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   

2. Configure a porta de entrada do Istio.

   export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
   

3. Crie uma variável de ambiente GATEWAY_URL que use o host e a porta de entrada do Istio.

   export GATEWAY_URL=$INGRESS_IP:$INGRESS_PORT
   

4. Execute curl para a variável GATEWAY_URL para verificar se o app BookInfo está em execução. Uma resposta 200 significa que o app BookInfo está sendo executado adequadamente com o Istio.

   curl -o /dev/null -s -w "%{http_code}\n" http://${GATEWAY_URL}/productpage
   

5. Tente atualizar a página várias vezes. Versões diferentes da seção de revisões fazem round-robin por estrelas vermelhas, por estrelas negras e por nenhuma estrela.

Criando uma URL de gateway em clusters VPC

1. Crie uma variável de ambiente GATEWAY_URL que use o nome do host de ingresso Istio.

   export GATEWAY_URL=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   

2. Execute curl para a variável GATEWAY_URL para verificar se o app BookInfo está em execução. Uma resposta 200 significa que o app BookInfo está sendo executado adequadamente com o Istio.

   curl -o /dev/null -s -w "%{http_code}\n" http://${GATEWAY_URL}/productpage
   

Visualizando a página da web do BookInfo em um navegador

Execute o comando a seguir com base em sua operação para visualizar o app BookInfo em seu navegador.

Mac OS ou Linux

open http://$GATEWAY_URL/productpage

Windows

start http://$GATEWAY_URL/productpage

Tente atualizar a página várias vezes. Versões diferentes da seção de revisões fazem round-robin por estrelas vermelhas, por estrelas negras e por nenhuma estrela.

Expondo o BookInfo usando um subdomínio fornecido pela IBM sem TLS

Quando você ativa o complemento do BookInfo em seu cluster, o gateway bookinfo-gateway do Istio é criado para você. O gateway usa as regras de serviço virtual e de destino do Istio para configurar um balanceador de carga, istio-ingressgateway, que expõe publicamente o app BookInfo. Nas etapas a seguir, você cria um subdomínio para o endereço IP do balanceador de carga istio-ingressgateway em clusters clássicos ou o nome do host em clusters VPC por meio dos quais é possível acessar publicamente o BookInfo.

1. Registre o endereço IP em clusters clássicos ou o nome do host em clusters VPC para o balanceador de carga istio-ingressgateway criando um subdomínio do DNS.
   • Clássico:

       ibmcloud ks nlb-dns create classic --ip $INGRESS_IP --cluster <cluster_name_or_id>
       ```
   * VPC:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --lb-host $GATEWAY_URL --cluster <cluster_name_or_id>
       ```
   

2. Verifique se o subdomínio foi criado e copie o subdomínio.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

Exemplo de saída para clusters clássicos

Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>

Exemplo de saída para clusters VPC

Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>

Em um navegador da web, abra a página do produto BookInfo. Como nenhum TLS é configurado, certifique-se de que você usa HTTP.

http://<subdomain>/productpage

Tente atualizar a página várias vezes. As solicitações para http://<subdomain>/productpage são recebidas pelo balanceador de carga do Istio Gateway. As diferentes versões do microsserviço reviews ainda são retornadas aleatoriamente porque o gateway do Istio gerencia as regras de serviço virtual e de roteamento de destino para microsserviços.

Expondo o BookInfo usando um subdomínio fornecido pela IBM com TLS

Quando você ativa o complemento do BookInfo em seu cluster, o gateway bookinfo-gateway do Istio é criado para você. O gateway usa as regras de serviço virtual e de destino do Istio para configurar um balanceador de carga, istio-ingressgateway, que expõe publicamente o app BookInfo. Nas etapas a seguir, você cria um subdomínio para o endereço IP do balanceador de carga istio-ingressgateway em clusters clássicos ou o nome do host em clusters VPC por meio dos quais é possível acessar publicamente o BookInfo. Você também usa o certificado SSL para permitir conexões HTTPS com o app BookInfo.

1. Registre o endereço IP em clusters clássicos ou o nome do host em clusters VPC para o balanceador de carga istio-ingressgateway criando um subdomínio do DNS.

   • Clássico:

       ibmcloud ks nlb-dns create classic --ip $INGRESS_IP --secret-namespace istio-system --cluster <cluster_name_or_id>
       ```
   * VPC:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --lb-host $GATEWAY_URL --secret-namespace istio-system --cluster <cluster_name_or_id>
       ```
   

2. Verifique se o subdomínio foi criado e anote o nome de seu segredo de SSL no campo Nome do segredo do certificado SSL.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

   Exemplo de saída para clusters clássicos.

   Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>
   

   Exemplo de saída para clusters VPC

   Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
   

Configurando o bookinfo-gateway para usar a rescisão de TLS

Conclua as etapas a seguir para configurar a rescisão de TLS para o bookinfo-gateway.

1. Exclua o bookinfo-gateway existente, que não está configurado para manipular conexões TLS.

   kubectl delete gateway bookinfo-gateway
   

2. Crie um novo arquivo de configuração bookinfo-gateway que usa a finalização TLS. Salve o arquivo YAML a seguir como bookinfo-gateway.yaml. Substitua <secret_name> pelo nome do segredo SSL localizado anteriormente.

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: bookinfo-gateway
   spec:
     selector:
       istio: ingressgateway
     servers:
     - port:
         number: 443
         name: https
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: <secret_name>
       hosts:
       - "*"
   

3. Crie o novo bookinfo-gateway em seu cluster.

   kubectl apply -f bookinfo-gateway.yaml
   

4. Em um navegador da web, abra a página do produto BookInfo. Certifique-se de que você usa HTTPS para o subdomínio encontrado na etapa 2.

   https://<subdomain>/productpage
   

5. Tente atualizar a página várias vezes. As solicitações para https://<subdomain>/productpage são recebidas pelo balanceador de carga do Istio Gateway. As diferentes versões do microsserviço reviews ainda são retornadas aleatoriamente porque o gateway do Istio gerencia as regras de serviço virtual e de roteamento de destino para microsserviços.

Entendendo o que aconteceu

O BookInfo de amostra demonstra como três componentes de gerenciamento de tráfego do Istio trabalham juntos para rotear o tráfego de ingresso para o app.

Gateway

O Gateway bookinfo-gateway descreve um balanceador de carga, o serviço istio-ingressgateway no namespace istio-system que age como o ponto de entrada para tráfego HTTP/TCP de entrada para o BookInfo. O Istio configura o balanceador de carga para atender solicitações recebidas nos apps gerenciados pelo Istio nas portas que estão definidas no arquivo de configuração de gateway. Para ver o arquivo de configuração para o gateway BookInfo, execute o comando a seguir.

kubectl get gateway bookinfo-gateway -o yaml

VirtualService

O VirtualService bookinfo especifica as regras que controlam como as solicitações são roteadas dentro da malha de serviço definindo microsserviços como destinations. No serviço virtual bookinfo, o URI /productpage de uma solicitação é roteado para o host productpage na porta 9080. Dessa maneira, todas as solicitações para o app BookInfo são roteadas primeiro para o microsserviço productpage, que, em seguida, chama os outros microsserviços do BookInfo. Para ver a regra de serviço virtual, execute o comando a seguir.

kubectl get virtualservice bookinfo -o yaml

DestinationRule

Depois que o gateway roteia a solicitação de acordo com a regra de serviço virtual, os DestinationRules details, productpage, ratings e reviews definem as políticas que são aplicadas à solicitação quando ela atinge um microsserviço. Por exemplo, quando você atualiza a página do produto BookInfo, as mudanças que você vê são o resultado do microsserviço productpage aleatoriamente chamando versões diferentes, v1, v2 e v3, do microsserviço reviews. As versões são selecionadas aleatoriamente porque a regra de destino reviews fornece peso igual para os subsets ou as versões nomeadas do microsserviço. Esses subconjuntos são usados pelas regras de serviço virtual quando o tráfego é roteado para versões específicas do serviço. Para ver as regras de destino que são aplicadas a BookInfo, execute o comando a seguir.

kubectl describe destinationrules

Ativando a injeção automática de sidecar

Quando a injeção automática de sidecar está ativada, um namespace atende quaisquer novas implementações e modifica automaticamente a especificação do modelo de pod para que os pods de app sejam criados com contêineres de sidecar do proxy do Envoy. Ative a injeção de sidecar automática para um namespace quando planejar implementar múltiplos apps que você deseja integrar com o Istio nesse namespace. A injeção automática de sidecar não está ativada para nenhum namespace por padrão no complemento gerenciado pelo Istio.

Não ative a injeção de sidecar para os namespaces kube-system, ibm-system, ou ibm-operators.

Para ativar a injeção de sidecar automática para um namespace:

1. Obtenha o nome do namespace no qual você deseja implementar apps gerenciados pelo Istio.

   kubectl get namespaces
   

2. Rotule o namespace como istio-injection=enabled.

   kubectl label namespace <namespace> istio-injection=enabled
   

3. Implemente apps no namespace rotulado ou reimplemente apps que já estão no namespace.

   kubectl apply <myapp>.yaml --namespace <namespace>
   

4. Opcional para reimplementar um aplicativo nesse namespace, exclua o pod do app de modo que ele seja implementado com o sidecar injetado.

   kubectl delete pod -l app=<myapp>
   

5. Se você não criou um serviço para expor o seu aplicativo, crie um serviço Kubernetes. Seu app deve ser exposto por um serviço do Kubernetes para ser incluído como um microsserviço na malha de serviço Istio. Assegure-se de seguir os Requisitos do Istio para pods e serviços.

6. Defina um serviço para o app.

   apiVersion: v1
   kind: Service
   metadata:
     name: myappservice
   spec:
     selector:
       <selector_key>: <selector_value> # Enter the label key `selector_key` and value `selector_value` pair that you want to use to target the pods where your app runs.
     ports:
     - protocol: TCP
       port: 8080 # The port that the service listens on
   

7. Crie o serviço em seu cluster. Assegure-se de que o serviço seja implementado no mesmo namespace que o app.

   kubectl apply -f myappservice.yaml -n <namespace>
   

Os pods de app são agora integrados à sua malha de serviço do Istio porque eles têm o contêiner sidecar do Istio que é executado ao lado do contêiner do app.

Injetando os sidecars manualmente

Se você não desejar ativar a injeção sidecar automática para um namespace, poderá injetar manualmente o sidecar em um YAML de implementação. Injete sidecars manualmente quando os apps estiverem em execução em espaços de nomes em outras implementações nas quais você não quer que os sidecars sejam injetados automaticamente.

Não ative a injeção de sidecar para os namespaces kube-system, ibm-system, ou ibm-operators.

1. Faça download do cliente istioctl .

   curl -L https://istio.io/downloadIstio | sh -
   

2. Navegue para o diretório do pacote Istio.

   cd istio-1.29.5
   

Para injetar os sidecars manualmente em uma implementação:

1. Injete o sidecar do Envoy em seu YAML de implementação do app.

   istioctl kube-inject -f <myapp>.yaml | kubectl apply -f -
   

2. Implemente seu app.

   kubectl apply <myapp>.yaml
   

3. Se você não criou um serviço para expor o seu aplicativo, crie um serviço Kubernetes. Seu app deve ser exposto por um serviço do Kubernetes para ser incluído como um microsserviço na malha de serviço Istio. Assegure-se de seguir os Requisitos do Istio para pods e serviços.

4. Defina um serviço para o app.

   apiVersion: v1
   kind: Service
   metadata:
     name: myappservice
   spec:
     selector:
       <selector_key>: <selector_value> # Enter the label key `selector_key` and value `selector_value` pair that you want to use to target the pods where your app runs.
     ports:
     - protocol: TCP
       port: 8080 # The port that the service listens on.
   

5. Crie o serviço em seu cluster. Assegure-se de que o serviço seja implementado no mesmo namespace que o app.

   kubectl apply -f myappservice.yaml -n <namespace>
   

Os pods de app são agora integrados à sua malha de serviço do Istio porque eles têm o contêiner sidecar do Istio que é executado ao lado do contêiner do app.

Expondo o gateway de ingresso do Istio com o DNS sem a finalização TLS

1. Instale o complemento gerenciado do istio em um cluster.
2. Instale a CLI istioctl.
3. Configure a injeção de sidecar para microsserviços de app, implemente os microsserviços de app em um espaço de nomes e crie serviços de Kubernetes para os microsserviços de app para que eles estejam na malha de serviço do Istio.

Para expor apps publicamente:

1. Crie um gateway que use o serviço do balanceador de carga istio-ingressgateway público para expor a porta 80 para HTTP. Substitua <namespace> pelo espaço de nomes no qual os microsserviços gerenciados por Istio estão implementados. Para obter mais informações sobre os componentes do YAML do gateway, consulte a Documentação de referência do Istio.

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: my-gateway
   spec:
     selector:
       app: ingressgateway
     servers:
     - port:
         number: 80
         name: http
         protocol: HTTP
       hosts:
       - "*"
   

2. Aplique o gateway no namespace no qual os microsserviços gerenciados pelo Istio são implementados.

   kubectl apply -f my-gateway.yaml -n <namespace>
   

3. Crie um serviço virtual que use o gateway my-gateway e defina as regras de roteamento para os microsserviços do app. Se os microsserviços atendem em uma porta diferente de 80, inclua essa porta. Para obter mais informações sobre os componentes do YAML do serviço virtual, consulte a Documentação de referência do Istio.

   apiVersion: networking.istio.io/v1beta1
   kind: VirtualService
   metadata:
     name: my-virtual-service
     namespace: <namespace> # The namespace where your Istio-managed microservices are deployed.
   spec:
     gateways:
     - my-gateway # `my-gateway` is specified so that the gateway can apply these virtual service routing rules to the `istio-ingressgateway` load balancer.
     hosts:
     - '*'
     http:
     - match:
       - uri:
           exact: /<service_path> # Replace `service_path` with the path that your entrypoint microservice listens on. For example, in the BookInfo app, the path is defined as `/productpage`.
       route:
       - destination:
           host: <service_name> # Replace `service_name` with the name of your entrypoint microservice. For example, in the BookInfo app, `productpage` served as the entrypoint microservice that called the other app microservices.
           port:
             number: 80 # If your microservice listens on a different port, replace `80` with the port.
   

4. Aplique as regras de serviço virtual no namespace no qual o microsserviço gerenciado pelo Istio está implementado.

   kubectl apply -f my-virtual-service.yaml -n <namespace>
   

5. Obtenha o endereço EXTERNAL-IP (clusters clássicos) ou o nome do host (clusters da VPC) para o balanceador de carga público istio-ingressgateway. Caso você tenha habilitado um balanceador de carga do Istio em cada zona do seu cluster, obtenha o endereço IP ou o nome do host do serviço do balanceador de carga em cada zona.

   kubectl get svc -n istio-system
   

   # Example output for classic clusters
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   169.1.1.1       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

   # Example output for VPC clusters:
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   1234abcd-us-south.lb.appdomain.cloud       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

6. Registre o IP do balanceador de carga ou o nome do host criando um subdomínio de DNS. Para obter mais informações sobre o registro de subdomínios DNS em IBM Cloud Kubernetes Service, consulte Classic: Registro de um subdomínio NLB ou informações sobre o registro de um nome de host de balanceador de carga VPC com um subdomínio DNS para um VPC ALB ou VPC NLB.

   ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_id> --ip <LB_IP> [--ip <LB_zone2_IP> ...]
   

   Exemplo de comando para clusters de VPC.

   ibmcloud ks nlb-dns create vpc-gen2 -c <cluster_name_or_ID> --lb-host <LB_hostname>
   

7. Verifique se o subdomínio foi criado. Na saída, copie o nome do seu segredo de SSL no campo Nome do segredo do certificado de SSL.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

   Exemplo de saída para clusters clássicos.

   Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>
   

   Exemplo de saída para clusters de VPC.

   Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
   

8. Verifique se o tráfego é encaminhado para os seus microsserviços gerenciados pelo Istio inserindo a URL do microsserviço do app.

   http://<host_name>/<service_path>
   

Procurando um controle com uma granularidade ainda mais baixa sobre o roteamento? Para criar regras que são aplicadas após o balanceador de carga rotear o tráfego para cada microsserviço, como regras para envio de tráfego para diferentes versões de um microsserviço, é possível criar e aplicar DestinationRules.

Necessidade de depurar configurações de ingresso ou egresso? Certifique-se de que a opção istio-global-proxy-accessLogFile no configmap managed-istio-custom esteja configurada como "/dev/stdout". Os proxies Envoy imprimem informações de acesso para sua saída padrão, que é possível visualizar executando comandos kubectl logs para os contêineres do Envoy. Se você notar que o pod ibm-cloud-provider-ip para um gateway está preso em pending, consulte este tópico de resolução de problemas.

Expondo o gateway de ingresso do Istio com o DNS com a finalização TLS

1. Instale o complemento gerenciado do istio em um cluster.
2. Instale a CLI istioctl.
3. Configure a injeção de sidecar para microsserviços de app, implemente os microsserviços de app em um espaço de nomes e crie serviços de Kubernetes para os microsserviços de app para que eles estejam na malha de serviço do Istio.

Para expor apps publicamente:

1. Registre o IP do balanceador de carga ou o nome do host criando um subdomínio de DNS. Para obter mais informações sobre como registrar subdomínios de DNS no IBM Cloud Kubernetes Service, consulte Clássico: registrando um subdomínio do NLB ou Registrando um nome de host do balanceador de carga da VPC com um subdomínio de DNS.

   • Clusters clássicos:

       ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_id> --ip <LB_IP> [--ip <LB_zone2_IP> ...]
       ```
   * Clusters de VPC:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 -c <cluster_name_or_ID> --lb-host <LB_hostname>
       ```
   

2. Verifique se o subdomínio foi criado. Na saída, copie o nome do seu segredo de SSL no campo Nome do segredo do certificado de SSL.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

   # Example output for classic clusters:
   Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>
   

   # Example output for VPC clusters:
   Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
   

3. Crie um gateway que use o serviço do balanceador de carga istio-ingressgateway público para expor a porta 80 para HTTP. Substitua <namespace> pelo espaço de nomes no qual os microsserviços gerenciados por Istio estão implementados. Para obter mais informações sobre os componentes do YAML do gateway, consulte a Documentação de referência do Istio.

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: my-gateway
     namespace: <namespace>
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           name: https
           protocol: HTTPS
           number: 443
       tls:
         mode: SIMPLE
         serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
         privateKey: /etc/istio/ingressgateway-certs/tls.key
       hosts:
       - "*"
   

4. Aplique o gateway no namespace no qual os microsserviços gerenciados pelo Istio são implementados.

   kubectl apply -f my-gateway.yaml -n <namespace>
   

5. Crie um serviço virtual que use o gateway my-gateway e defina as regras de roteamento para os microsserviços do app. Para obter mais informações sobre os componentes do YAML do serviço virtual, consulte a Documentação de referência do Istio.

   apiVersion: networking.istio.io/v1beta1
   kind: VirtualService
   metadata:
     name: my-virtual-service
     namespace: <namespace> # The namespace where your Istio-managed microservices are deployed.
   spec:
     gateways:
     - my-gateway # `my-gateway` is specified so that the gateway can apply these virtual service routing rules to the `istio-ingressgateway` load balancer.
     hosts:
     - '*'
     http:
     - match:
       - uri:
           exact: /<service_path> # Replace `service_path` with the path that your entrypoint microservice listens on. For example, in the BookInfo app, the path is defined as `/productpage`.
       route:
       - destination:
           host: <service_name> # The name of your entrypoint microservice. For example, in the BookInfo app, `productpage` served as the entrypoint microservice that called the other app microservices.
           port:
             number: 443 # If your microservice listens on a different port, replace 443 with the port.
   

6. Aplique as regras de serviço virtual no namespace no qual o microsserviço gerenciado pelo Istio está implementado.

   kubectl apply -f my-virtual-service.yaml -n <namespace>
   

7. Obtenha o endereço EXTERNAL-IP (clusters clássicos) ou o nome do host (clusters da VPC) para o balanceador de carga público istio-ingressgateway. Caso você tenha habilitado um balanceador de carga do Istio em cada zona do seu cluster, obtenha o endereço IP ou o nome do host do serviço do balanceador de carga em cada zona.

   kubectl get svc -n istio-system
   

   # Example output for classic clusters:
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   169.1.1.1       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

   # Example output for VPC clusters:
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   1234abcd-us-south.lb.appdomain.cloud       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

8. Verifique se o tráfego é encaminhado para os seus microsserviços gerenciados pelo Istio inserindo a URL do microsserviço do app.

   https://<host_name>/<service_path>
   

Os certificados para o segredo do host DNS do NLB expiram a cada 90 dias. O segredo no namespace padrão é renovado automaticamente pela IBM Cloud Kubernetes Service 37 dias antes de expirar, mas deve-se copiar manualmente o segredo para o namespace istio-system toda vez que ele for renovado. Use scripts para automatizar esse processo.

Procurando um controle com uma granularidade ainda mais baixa sobre o roteamento? Para criar regras que são aplicadas após o balanceador de carga rotear o tráfego para cada microsserviço, como regras para envio de tráfego para diferentes versões de um microsserviço, é possível criar e aplicar DestinationRules.

Necessidade de depurar configurações de ingresso ou egresso? Certifique-se de que a opção istio-global-proxy-accessLogFile no configmap managed-istio-custom esteja configurada como "/dev/stdout". Os proxies Envoy imprimem informações de acesso para sua saída padrão, que é possível visualizar executando comandos kubectl logs para os contêineres do Envoy. Se você notar que o pod ibm-cloud-provider-ip para um gateway está preso em pending, consulte este tópico de resolução de problemas.