Istio實現雙向TLS的遷移

在istio中，雙向tls是傳輸身份驗證的完整堆疊解決方案，它為每個服務提供可跨集群的強大身份、保護服務到服務通訊和終端使用者到服務通訊，以及提供金鑰管理系統。本文闡述如何在不中斷通訊的情況下，把現存istio服務的流量從明文公升級為雙向tls。

使用場景

在部署了istio的集群中，使用人員剛開始可能更關注功能性，服務之間的通訊配置的都是明文傳輸，當功能逐漸完善，開始關注安全性，部署有sidecar的服務需要使用雙向tls進行安全傳輸，但服務不能中斷，這時，乙個可取的方式就是進行雙向tls的遷移。

下面通過例項演示如何進行雙向tls的遷移。

環境準備

? 已經部署好istio的集群，沒有啟用雙向tls

? 建立三個命名空間，分別是 foo、bar 以及 legacy

? 在 foo、bar 中分別部署注入 istio sidecar 的 httpbin 以及 sleep 應用，在legacy中部署未注入sidecar的sleep應用

檢查部署情況

可以看到，從任意乙個命名空間選乙個sleep應用，傳送http請求到httpbin.foo，都能請求成功。這個時候，使用的是明文傳輸。

檢查系統中的認證策略和目標規則：

可以看到，系統中在foo、bar 以及 legacy命名空間下沒有認證策略和目標規則。

下面開始通過配置服務端和客戶端來公升級傳輸過程：

配置伺服器

向服務端注入以下策略：

上圖策略中，模式為permissive，這個模式讓伺服器能夠同時接收明文和雙向tls流量，具體使用哪種方式由實際配置決定。再次驗證網路通訊，可以看到所有請求都成功，目前使用的還是明文的方式。