Azure AKS 应用程序网关入口和 Istio 入口网关答案

【问题标题】：Azure AKS App Gateway Ingress and Istio Ingress GatewayAzure AKS 应用程序网关入口和 Istio 入口网关
【发布时间】：2020-06-17 13:48:46
【问题描述】：

有人尝试过使用这个捆绑包吗？主要问题是否真的有意义，只要 App Gateway 作为 K8S Ingress Controller 的主要优势是能够直接连接到 Pod，避免 NodePort 模式。在 Istio Ingress Gateway 的情况下，我们仍然有额外的到 pod 的跃点，所以 L3 Azure ILB 应该也可以吗？

【问题讨论】：

这没有任何意义。应用网关是 L7，负载均衡器是 L4。应用程序网关（或负载均衡器）无法直接连接到 Pod，它与主机相关联。真正的问题是什么？
@4c74356b41 有一个应用网关入口控制器 (AGIC)：docs.microsoft.com/en-us/azure/application-gateway/…。我在一个项目中使用它，效果很好。对于这个项目，我们需要使用应用网关，因此使用 AGIC 我们不需要另一个负载均衡器。我会说，如果您需要在集群顶部使用 AGIC 的应用程序网关是有意义的，但实际上取决于您的用例。
我知道应用程序网关入口控制器是什么，但它不是 L3。其他需要考虑的事情 - 与 Istio 网关相比，应用程序网关缺乏功能。必须证明为应用程序网关等付费是合理的
@4c74356b41 是的，它可以直接连接到 pod，因为 azure CNI pod 直接在 vnet 中有 IP 地址，问题是结合 App Gateway 和 istio 是否有意义
不，它没有。因为应用程序网关严格不如 istio 入口网关

标签： azure kubernetes kubernetes-ingress istio azure-aks

【解决方案1】：

我想说AGIC 的主要优势不一定是能够直接连接到 pod，而是能够使用应用程序网关的WAF 功能并支持Microsoft，这是某个时候大公司需要。如果您不打算使用应用程序网关的WAF 功能，那么在Istio Ingress Gateway 前面使用AGIC 而不是L4 负载平衡器实际上没有任何意义。

【讨论】：

如果“直接连接到 pod 的能力”不是优势，我不知道是什么。 WAF 可以在 FrontDoor 或内部 API GW 上轻松替换，但直接使用其私有 IP 与 pod 通信的能力在这里清楚地显示了性能优势。