Istio Ambient Mode
Calico를 사용하면 클러스터에서 Istio 서비스 메시를 배포하고 관리할 수 있어요. Calico는 Istio를 ambient 모드로 설치하며, 리소스를 절약하면서 워크로드에 동일한 견고한 mTLS 암호화를 제공합니다. 이 문서는 Istio Ambient Mode의 개념과 Calico 통합의 특징, 강화된 zTunnel 프록시를 소개해요.
출처: 문서
본문
Calico를 사용하면 클러스터에서 Istio 서비스 메시를 배포하고 관리할 수 있어요. Calico는 ambient 모드로 Istio를 설치하며, 리소스를 아끼면서 워크로드에 동일한 견고한 mTLS 암호화를 제공합니다.
참고: Istio Ambient Mode는 기술 미리보기(tech preview) 기능이에요. 기술 미리보기 기능은 GA가 되기 전에 상당한 변화가 있을 수 있습니다.
Istio Ambient Mode란
Istio는 마이크로서비스 간 통신을 관리하고 보호하는 서비스 메시예요. 전통적으로 Istio는 서비스 메시의 모든 파드마다 사이드카 프록시를 배치해서 사용합니다. 규모가 커지면 이런 사이드카 프록시를 운영하는 일이 관리하기 어렵고 리소스 소모도 커져요.
Istio Ambient Mode는 모든 파드 옆에 사이드카 프록시를 두지 않아도 되는 단순화된 서비스 메시 아키텍처예요. 대신 노드 수준 컴포넌트로 공용 보안을 제공하고, 고급 트래픽 관리는 계층화된(layered) 방식으로 처리합니다. 이 설계는 컴퓨팅 자원을 절약하고 운영을 단순화해요.
Calico에서의 Istio Ambient Mode
Calico는 Tigera Operator가 설치하고 관리할 수 있는 Istio 번들 버전(1.29.8)을 제공해요.
이 통합은 Istio 컴포넌트의 수명 주기를 자동화해서 수동 구성 부담을 줄입니다. CVE는 정기적인 Calico 패치 릴리스 주기의 일부로 해결돼요. 관리자는 표준 Istio 커스텀 리소스를 정의해서 Istio 서비스 메시를 프로비저닝합니다.
강화된 zTunnel 프록시
Istio Ambient Mode의 zTunnel 컴포넌트는 모든 노드에서 실행되는 경량 프록시예요.
주 역할은 레이어 4에서 트래픽에 대한 암호화, 인증, 정책 적용을 처리하는 거예요.
원조 Istio Ambient Mode의 어려움 중 하나는 트래픽이 zTunnel을 거칠 때 특정 포트(15008)의 터널로 들어간다는 점이에요. 이 변화 때문에 기존의 레이어 3 또는 레이어 4 네트워크 정책(Calico 정책 등)은 트래픽의 원래 목적지 포트를 볼 수 없게 됩니다.
Calico는 원래 목적지 포트를 보존하도록 수정된 강화된 zTunnel을 사용해 이 문제를 해결해요. 이 덕분에 트래픽이 이제 mTLS로 암호화되더라도 기존 Calico와 Kubernetes 네트워크 정책은 전혀 재작성 없이 이전과 정확히 동일하게 동작합니다.
이 zTunnel 강화 기능은 Istio의 애플리케이션 계층 Waypoint 프록시와는 호환되지 않아요. Waypoint를 배포하면 보고되는 목적지 포트는 원래 동작을 따릅니다. 기존 네트워크 정책은 15008 포트로의 통신을 허용하도록 조정이 필요해요.
추가 리소스
더 알아보기 (Learn more)
ambient 모드는 사이드카 없이 mTLS를 제공해 리소스 효율이 뛰어나요. 다만 Calico의 강화된 zTunnel과 Waypoint 프록시의 포트 동작 차이를 기억해두면 정책 설계에 도움이 됩니다.