为什么 envoy sidecar 可以控制我的流量？

【问题标题】：Why can envoy sidecar control my traffic?为什么 envoy sidecar 可以控制我的流量？
【发布时间】：2018-04-24 12:53:03
【问题描述】：

我在Kubernetes 上运行istio。我想知道特使边车是如何工作的。例如，sidecar 注入 pod 后，如果没有EgressRule，原容器无法访问外网。它是如何工作的？

【问题讨论】：

标签： kubernetes istio envoyproxy

【解决方案1】：

pod 内的所有流量都被iptables commands 捕获并定向到sidecar 代理。然后 sidecar 代理根据它从 Istio Pilot（Istio Control Plane 的一部分）接收到的路由表执行路由。路由表基于 Kubernetes 服务和 Istio RouteRules。由于 Istio 对外部服务一无所知，因此它无法在未定义 EgressRule 的情况下将流量路由到外部服务。 EgressRules 为外部服务定义路由表。

【讨论】：