NLB -> Istio 网关与 ALB -> Istio 网关答案

【问题标题】：NLB -> Istio Gateway vs ALB -> Istio GatewayNLB -> Istio 网关与 ALB -> Istio 网关
【发布时间】：2019-12-30 02:24:36
【问题描述】：

据我了解，您的 Istio 网关前面还是会有 NLB 或 ALB？

但我很困惑，因为 Istio Gateway 似乎做了很多 ALB 为第 7 层甚至更多所做的事情？

所以我读了 ALB -> Istio 网关没问题，但这不是多余的吗？ NLB -> ALB -> Istio Gateway 怎么样，好像太多了？

似乎最好有NLB -> Istio Gateway，让他们分别处理Layer 4和Layer 7，就像他们最擅长的那样，有没有人可以启发和确认？

【问题讨论】：

标签： kubernetes ibm-cloud load-balancing istio nlb

【解决方案1】：

如果您使用的是 Istio，那么是的，istio 最初创建时考虑了入口控制器。网关+虚拟服务基本上可以实现你想要的。一些入口控制器更简单，并且有不同的优点，但如果 istio 可以处理所有你想要的，那就去吧。

【讨论】：

【解决方案2】：

是的，使用 ALB -> Istio 网关是多余的，因为虚拟服务会处理您所有的自定义路由规则（而不是 ALB）。在 Istio 网关前使用 NLB 主机名是最简单的方法，并在此处的文档中推荐：https://cloud.ibm.com/docs/containers?topic=containers-istio#no-tls

【讨论】：

【解决方案3】：

我不会说 ALB 是多余的，ALB 有一些您无法从 istio 中利用的选项：

您不能在 NLB 之上添加 WAF，这会使您的应用面临安全问题，或者您需要将其解决到集群中
在某些情况下，您实际上希望将流量转移到另一个 EC2 实例池，但使用 istio 很难做到这一点
如果您想进行 SSL 卸载
根据您的应用程序，使用 NLB 可能会很危险，因为您的 NLB 上没有添加任何安全性（安全组），因此您需要将您的节点直接暴露在互联网上

【讨论】：