在 istio sidecar 代理中过滤请求日志

Question

我有一个 azure 前门，位于 aks 集群的前面，每个 pod 都注入了​​ istio 和代理边车。

由于 Azure 前门终结点的数量，Azure 前门的运行状况探测每秒至少会命中一次请求。应用程序收到的请求数量非常多，以至于我想减慢间隔它的影响是失去前门的好处。

Microsoft 建议在 dotnet 中编写遥测初始化程序以将请求标记为合成，但这似乎是一个大问题，我需要让多个团队参与进来。以及复制到多种语言。

相反，我想使用特使过滤器来查看请求的标头，如果它与前门代理“Edge Health Probe”匹配，我想完全忽略它。

这意味着我可以控制将哪些日志发送到应用洞察，可以推出适合所有人的解决方案，并且不需要开发人员参与。

我看过 envoy 过滤器，但不能真正理解它是如何工作的。

特使过滤器可以做到这一点还是有人知道更好的方法？

谢谢 凯文

Answer 1

您可以使用EnvoyFilter 来做到这一点。此示例识别入口网关上的标头并简单地发送 200 响应而不将其发送到工作负载：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: custom-ms-header
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
    - applyTo: NETWORK_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.filters.network.http_connection_manager
              subFilter:
                name: envoy.filters.network.http_connection_manager
      patch:
        operation: INSERT_BEFORE
        value:
          name: custom.ms-header
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
            inlineCode: |
               function envoy_on_request(request_handle)
                 val = request_handle:headers():get("some-header")
                 if (val and val ~= "some-value") then
                   request_handle:respond({[":status"] = "200"}, "ok")                        
                 end
               end

或者，您可以将其应用于匹配某些工作负载

[...]
    namespace: my-namespace
spec:
  workloadSelector:
    labels:
      istio: my-worklload
  configPatches:
    - applyTo: NETWORK_FILTER
      match:
        context: SIDECAR_INBOUND
        listener:
          filterChain:
[...]

这要求您将其应用于每个工作负载。

Answer 2

我是否误解了这一点，但如果您想忽略该请求，为什么不简单地关闭运行状况探测？

或者将探测的间隔从默认的 30 秒更改为 255 以减少请求，当然默认的健康探测是 HEAD 请求，因此您可以轻松地将它们过滤掉。