Sidecar or ambient?

Sidecar or ambient?Istio

Sidecar 모드와 Ambient 모드 비교

Istio 서비스 메시는 논리적으로 데이터 플레인과 컨트롤 플레인으로 나뉩니다.데이터 플레인은 마이크로서비스 간의 모든 네트워크 통신을 중재하고 제어하는 프록시 집합입니다. 또한 메시의 모든 트래픽에 대한 원격 측정 데이터를 수집하고 보고합니다.컨트롤 플레인은 데이터 플레인의 프록시를 관리하고 구성합니다.Istio는 두 가지 주요 데이터 플레인 모드를 지원합니다:Sidecar 모드는 클러스터에서 시작하는 각 Pod와 함께 Envoy 프록시를 배포하거나 VM에서 실행되는 서비스와 함께 실행됩니다. Ambient 모드는 노드당 Layer 4 프록시를 사용하고, 선택적으로 Layer 7 기능을 위해 네임스페이스당 Envoy 프록시를 사용합니다.두 모드는 서로 상호 운용할 수 있으며α, 특정 네임스페이스나 워크로드를 각 모드로 선택할 수 있습니다.

Sidecar 모드

Istio는 2017년 첫 번째 릴리스부터 사이드카 패턴을 기반으로 구축되었습니다. Sidecar 모드는 잘 이해되고 철저히 검증되었지만 리소스 비용과 운영 오버헤드가 발생합니다.

• 배포하는 각 애플리케이션에는 사이드카로 주입된 Envoy 프록시가 있습니다.

• 모든 프록시는 Layer 4와 Layer 7을 모두 처리할 수 있습니다.

Ambient 모드

2022년에 출시된 Ambient 모드는 Sidecar 모드 사용자가 보고한 단점을 해결하기 위해 구축되었습니다. Istio 1.22 기준으로 단일 클러스터 사용 사례에 대해 프로덕션 준비가 완료되었습니다.

• 모든 트래픽은 Layer 4 전용 노드 프록시를 통해 프록시됩니다.

• 애플리케이션은 Layer 7 기능을 얻기 위해 Envoy 프록시를 통한 라우팅을 선택할 수 있습니다.

Sidecar와 Ambient 모드 선택

사용자는 종종 제로 트러스트 보안 태세를 가능하게 하는 첫 번째 단계로 메시를 배포한 다음 필요에 따라 선택적으로 L7 기능을 활성화합니다. Ambient 메시를 사용하면 필요하지 않을 때 L7 처리 비용을 완전히 우회할 수 있습니다.

Sidecar	Ambient
트래픽 관리	전체 Istio 기능 세트
보안	전체 Istio 기능 세트
관찰 가능성	전체 Istio 기능 세트
확장성	전체 Istio 기능 세트
메시에 워크로드 추가	네임스페이스에 레이블을 지정하고 모든 Pod를 다시 시작하여 사이드카 추가
점진적 배포	이진: 사이드카가 주입되거나 주입되지 않음
라이프사이클 관리	애플리케이션 개발자가 프록시 관리
리소스 활용	낭비; CPU 및 메모리 리소스는 각 개별 Pod의 최악의 사용 사례에 대해 프로비저닝되어야 함
평균 리소스 비용	큼
평균 지연 시간 (p90/p99)	0.63ms-0.88ms
L7 처리 단계	2 (소스 및 대상 사이드카)
규모에 맞는 구성	각 사이드카의 범위를 구성하여 구성을 줄여야 함
"서버 우선" 프로토콜 지원	구성 필요
Kubernetes Job 지원	사이드카의 긴 수명으로 인해 복잡해짐
보안 모델	가장 강력: 각 워크로드에 자체 키가 있음
손상된 애플리케이션 Pod가 메시 키에 액세스 제공	예
지원	다중 클러스터를 포함한 안정적
지원되는 플랫폼	Kubernetes (모든 CNI) 가상 머신

Layer 4와 Layer 7 기능 비교

Layer 7에서 프로토콜을 처리하는 오버헤드는 Layer 4에서 네트워크 패킷을 처리하는 것보다 상당히 높습니다. 특정 서비스의 경우 L4에서 요구 사항을 충족할 수 있다면 서비스 메시를 훨씬 더 낮은 비용으로 제공할 수 있습니다.

보안

L4	L7
암호화	Pod 간의 모든 트래픽은 mTLS를 사용하여 암호화됩니다.
서비스 간 인증	SPIFFE, mTLS 인증서를 통해. Istio는 Pod의 서비스 계정 ID를 인코딩하는 단기 X.509 인증서를 발급합니다.
서비스 간 권한 부여	네트워크 기반 권한 부여 및 ID 기반 정책 등:
최종 사용자 인증	해당 없음—사용자별 설정을 적용할 수 없습니다.
최종 사용자 권한 부여	해당 없음—위 참조.

관찰 가능성

L4	L7
로깅	기본 네트워크 정보: 네트워크 5튜플, 전송/수신된 바이트 등. Envoy 문서 참조.
추적	현재는 아니지만, 향후 HBONE으로 가능할 수 있습니다.
메트릭	TCP만 해당 (전송/수신된 바이트, 패킷 수 등).

트래픽 관리

L4	L7
로드 밸런싱	연결 수준에서만 가능. TCP 트래픽 전환 작업 참조.
서킷 브레이킹	TCP만 해당.
이상 감지	연결 설정/실패 시.
속도 제한	연결 설정 시 L4 연결 데이터에 대해서만 속도 제한, 전역 및 로컬 속도 제한 옵션 포함.
타임아웃	연결 설정에만 해당 (연결 유지는 서킷 브레이킹 설정을 통해 구성).
재시도	연결 설정 재시도
결함 주입	해당 없음—TCP 연결에서는 결함 주입을 구성할 수 없습니다.
트래픽 미러링	해당 없음—HTTP만 해당

지원되는 기능

Istio 1.22 기준으로 다음과 같은 Ambient 모드 기능이 구현되었지만 현재 Alpha 상태입니다:

• Sidecar와의 상호 운용성

• Istio의 클래식 API (VirtualService 및 DestinationRule)

• 다중 클러스터 설치

• DNS 프록싱

• IPv6/듀얼 스택

• SOCKS5 지원 (아웃바운드용)

다음 기능은 아직 구현되지 않았습니다:

• 제어된 이그레스 트래픽

• 다중 네트워크 지원

• VM 지원

ShareRewrite