使用自動 Envoy 部署功能設定 Compute Engine VM 的選項

本指南提供自動部署 Envoy 的其他選項和工作相關資訊。

其他執行個體範本建立選項

為自動部署 Envoy 代理程式建立執行個體範本時，您可以使用下列參數定義部署作業的某些層面，以及代理程式的行為。

舉例來說，下列 gcloud 指令會建立名為 proxy-it 的執行個體範本。從這個範本建立的執行個體會安裝 Envoy Proxy 和服務 Proxy 代理程式。

gcloud compute instance-templates create proxy-it \
    --service-proxy enabled,use-regional-control-plane

在下列範例中，執行個體範本稱為 proxy-it，系統會安裝 Envoy Proxy 和服務 Proxy 代理程式、設定服務通訊埠和 Proxy 通訊埠、啟用追蹤功能，並定義標籤。

gcloud compute instance-templates create proxy-it \
  --service-proxy enabled,serving-ports=8080,proxy-port=15001,tracing=ON \
  --service-proxy-labels version=canary

下圖說明指定服務連接埠為 8080 時的流量。傳入通訊埠 8080 的 TCP 連線會遭到 iptables 攔截，並重新導向至 Envoy Proxy，然後傳遞至 VM 上監聽 TCP 通訊埠 8080 的應用程式。此外：

• 所有連至 Cloud Service Mesh 中設定的服務 VIP 的輸出連線，都會遭到 iptables 攔截，而 iptables 會設定 netfilter。Netfilter 可確保系統攔截網路堆疊中相應的流量，並將其重新導向至 Envoy Proxy。接著，系統會根據您設定 Cloud Service Mesh 的方式，對流量進行負載平衡。
• 所有其他連入連線都不會遭到 iptables 攔截，而是直接傳遞至 VM 上的服務。
• 所有外部端點的連線都會直接傳遞至外部 IP 位址，不會遭到攔截。
• 所有 UDP 流量都會直接傳送至目的地，不會遭到 iptables 攔截。

如下圖所示。

圖表中的流量如下：

1. 目的地通訊埠為 80 的連入流量不會遭到攔截，而是直接轉送至監聽該通訊埠的服務。
2. 攔截並重新導向至 Envoy 監聽器通訊埠的目標通訊埠 8080 傳入流量。
3. Envoy 會將流量從 (2) 轉送至監聽 localhost 通訊埠 8080 的服務 2。
4. 傳送至 Cloud Service Mesh 轉送規則 VIP 和通訊埠的出站流量，會遭到攔截並重新導向至 Envoy 接聽埠。
5. Envoy 會將流量從 (4) 轉送至目的地 Cloud Service Mesh 後端服務的後端端點。
6. 傳送至非 Cloud Service Mesh VIP 和通訊埠的輸出流量，不會遭到攔截，而是直接轉送至外部服務。

使用標籤

如要指定與 Cloud Service Mesh 中繼資料篩選條件搭配使用的標籤，或啟用 Envoy 代理伺服器的存取記錄，請使用 --service-proxy-labels 或 --service-proxy access-log 參數。

例如：

gcloud compute instance-templates create td-vm-template-auto \
   --service-proxy enabled,access-log=/var/log/envoy/access.log,network=default \
   --service-proxy-labels myapp=review,version=canary

Envoy Proxy 可以攔截 VM 上服務的健康狀態檢查通訊埠。如果這麼做，健康狀態檢查探測器會回報應用程式和 Envoy 代理程式的狀態。如果 Envoy Proxy 未正確執行，流量就不會導向至 VM。例如：

gcloud compute instance-templates create td-vm-template-auto \
  --service-proxy=enabled,serving-ports="80;8080"

使用代管執行個體群組更新程序

如果您使用自動程序設定 Envoy 代理，可以透過代管執行個體群組更新程序更新代管執行個體群組。請按照這個程序執行下列操作：

• 將服務 Proxy 元件新增至現有的代管執行個體群組，並註冊至 Cloud Service Mesh 網路。
• 更新 VM 上的服務 Proxy 元件。

執行滾動式更新前，請先完成下列步驟。

1. 將後端服務的連線排除時間設為至少 30 秒。
2. 呼叫更新程式時，請使用 --min-ready 參數，並將值設為 3 分鐘以上。--min-ready 參數會讓代管執行個體群組在更新 VM 後等待一段時間，再繼續更新下一個 VM。如果沒有這項設定，新建立的 VM 就沒有足夠時間完整啟動 Envoy 和服務 Proxy 代理程式，更新程序也會進行得太快。

如要對代管執行個體群組執行滾動式更新，請按照下列步驟操作。

1. 如上所述，建立新的執行個體範本，並提供服務 Proxy 資訊。如果原始版本的執行個體範本包含服務 Proxy 資訊，且您的目標是更新至最新穩定版的 Proxy 軟體，則可使用該範本進行更新。
2. 對代管執行個體群組執行滾動式更新。請確認您已將 REPLACE 設為 Updater 必須執行的最低動作。執行個體群組會安裝最新版 Proxy 軟體，並按照執行個體範本中的指定方式設定。

您也可以使用更新程序，從代管執行個體群組中移除 Service Proxy 元件：

1. 建立新的執行個體範本，但不指定 --service-proxy 旗標。

2. 使用代管執行個體群組更新程序執行滾動式更新。

這會從 VM 移除 Envoy Proxy。如果該代管執行個體群組是唯一連接至後端服務的 MIG，您可能需要移除設定 Cloud Service Mesh 時建立的 Cloud Service Mesh 設定。