데브옵스
Istio 2편: Envoy config로 해부하는 Ambient mode
두줄요약
Istio Ambient mode의 요청 흐름을 Envoy config와 트래픽 경로로 해부했습니다. Gateway, Waypoint, ztunnel이 어떻게 HBONE과 리다이렉션을 구현하는지 정리했습니다.
구조와 흐름
- Istio Ambient mode의 요청 흐름을 Envoy config 관점에서 단계별로 추적
- Gateway의 Listener → Route → Cluster → Endpoint 구조와, xDS로 전달되는 설정 흐름 정리
- in-mesh 여부와 Waypoint 설정에 따라 endpoint 메타데이터와 transport socket이 달라지는 분기 설명
선택 이유
- 북-사우스 트래픽과 메쉬 내부 트래픽의 라우팅 정책을 한 곳에서 통합 관리하려는 배경
- Gateway는 edge 역할만 맡기고, L7 정책은 Waypoint에서 일원화하려는 설계 의도
성능/운영 포인트
- HBONE 구현 요소로 internal listener, tunneling_config, UpstreamTlsContext 조합 확인
- ztunnel의 투명 리다이렉션을 위한 iptables 규칙과 packet mark, connmark 처리 설명
- Pod 네임스페이스 안에 소켓을 생성하는 크로스 네임스페이스 방식으로 트래픽 가로채기