NLB -> Istio 網關 vs ALB -> Istio 網關

Question

我的理解是，無論如何，您的 Istio 網關前都會有一個 NLB 或 ALB？

但我很困惑，因為 Istio Gateway 似乎為 ALB 為第 7 層甚至更多做了很多事情？

所以我讀了 ALB -> Istio Gateway 沒問題，但這不是多余的嗎？ NLB -> ALB -> Istio Gateway 怎么樣，這似乎太多了？

似乎最好有 NLB -> Istio Gateway 讓他們像他們最擅長的那樣分別處理第 4 層和第 7 層，有人能指點一下並確認嗎？

Answer 1

如果您正在使用 Istio，那么是的，istio 最初是在考慮入口控制器的情況下創建的。 網關+虛擬服務基本上可以實現您想要的。 一些入口控制器更簡單，並且有不同的優點，但如果 istio 處理你想要的一切，那就去吧。

Answer 2

是的，使用 ALB -> Istio 網關是多余的，因為虛擬服務會處理您所有的自定義路由規則（而不是 ALB）。 在 Istio 網關前使用 NLB 主機名是最簡單的方法，並在此處的文檔中推薦： https ://cloud.ibm.com/docs/containers?topic=containers-istio#no-tls

Answer 3

我不會說 ALB 是多余的，ALB 有一些您無法從 istio 中利用的選項：

• 您不能在 NLB 之上添加 WAF，這會使您的應用面臨安全問題，或者您需要將其解決到集群中
• 在某些情況下，您實際上希望將流量移動到另一個 EC2 實例池，使用 istio 很難做到這一點
• 如果你想做 SSL 卸載
• 根據您的應用程序，使用 NLB 有潛在危險，因為沒有在 NLB 之上添加安全（安全組），因此您需要將節點直接暴露給互聯網