istio服务条目（ServiceEntry）介绍

使用服务条目资源（ServiceEntry）可以将条目添加到 Istio 内部维护的服务注册表中。添加服务条目后，Envoy 代理可以将流量发送到该服务，就好像该服务条目是网格中的服务一样。通过配置服务条目，可以管理在网格外部运行的服务的流量。

此外，可以配置虚拟服务和目标规则，以更精细的方式控制到服务条目的流量，就像为网格中的其他任何服务配置流量一样。

---

服务条目样例

上面的介绍有点晦涩，不如我们直接给一个样例出来，该样例包含两个资源文件：

client.yaml # istio 要注入的客户端资源文件

svc-entry.yaml # 服务条目资源文件

服务条目资源

svc-entry.yaml 内容如下：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: svc-entry
spec:
  hosts:
  - "www.baidu.com"
  ports:
  - number: 80
    name: http
    protocol: HTTP
  location: MESH_EXTERNAL
  resolution: DNS

该服务条目资源定义了一个外部网站 baidu，并将它纳入到 Istio 内部维护的服务注册表中。执行如下语句创建 service entry 资源：

kubectl apply -f svc-entry.yaml

istio 注入客户端资源

client.yaml 客户端资源文件如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: client
spec:
  replicas: 1
  selector:
    matchLabels:
      app: client
  template:
    metadata:
      labels:
        app: client
    spec:
      containers:
      - name: busybox
        image: busybox
        imagePullPolicy: IfNotPresent
        command: ["/bin/sh", "-c", "sleep 3600"]

编辑完，执行如下语句进行 Istio 注入：

istioctl kube-inject -f client.yaml | kubectl apply -f -

执行成功后，查看 pod 发现容器个数为 2 个，说明 istio 注入成功：

Istio 注入后，client 就处于 Istio 服务网格之中。

---

验证服务条目样例

登录 client

执行如下语句登录 client：

kubectl exec -it $(kubectl get pods | grep -i client | awk '{print $1}') -- sh

登陆 client，访问 www.baidu.com 成功，如下所示：

你可能会迷惑，难道这就是服务条目？不是访问外网吗？

好吧，这还就真是服务条目。为了解除你心中的疑惑，我们现在来对刚才编写的 ServiceEntry 资源做一些手脚。

调整 service entiries 解析类型

调整内容如下所示：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: svc-entry
spec:
  hosts:
  - "www.baidu.com"
  ports: 
  - number: 80
    name: http
    protocol: HTTP
  location: MESH_EXTERNAL
  resolution: STATIC
  endpoints:
  - address: 172.20.10.10

添加了域名解析类型为 static，同时给出一个自定义 IP：192.168.182.188。再次 kubectl apply 后登陆 client 查看：

再次访问 baidu，发现已经不会成功了，多试验几次，一样不会成功。

出现此问题的原因是，service entry 一直都在发挥作用，前面没报错的原因是默认指定的域名解析是基于 DNS 的。而调整后，我们设置了静态域名解析的方式，并随意给了一个内网 IP 来标识 baidu。kubectl apply service entry 后此配置立刻就被应用在网格内（client）的 envoy，那么在网格内访问 baidu 的时候，流量就被路由到了我们所指定的 192.168.182.188 去了。

​ 执行如下语句删除 service entry，再次登录 client 访问 baidu，发现岁月静好。

---

总结

​ 使用 service entry 使用场景有哪些？这里给你一个场景，比如工作过程中你需要调用外部合作方服务，该服务跟你的集群毫无关系，甚至对方服务可以布置在美国。但是通过服务条目，你可以将对方服务纳入到自己的 Istio 网格之内，就像它本身存在你的集群之内一样，就好像你做了内网拦截一样。而且服务条目可以结合虚拟服务（virtual service）、目的地规则（destination rule）做更加精细的流量控制，不仅如此，还可以做失败注入、重试等功能。