設定 DNS Proxy

Kubernetes 原生只會解析本機叢集中 Services 的 DNS 名稱。DNS Proxy 可讓您在多叢集設定中，跨遠端叢集解析 Kubernetes Services，並為 ServiceEntry 資源產生 DNS 記錄。這樣一來，您就能將流量轉送至內部主機名稱，不必維護額外的內部 DNS 伺服器。

設定 DNS Proxy

如要設定 DNS Proxy，請按照下列方式設定 ISTIO_META_DNS_CAPTURE 旗標。您可以選擇叢集或個別 Proxy 的全域設定。

叢集層級設定

如要在叢集中設定 DNS Proxy，請將 ISTIO_META_DNS_CAPTURE Proxy 中繼資料新增至 MeshConfig 的 ConfigMap。ConfigMap 的名稱格式為 istio-<revision_name>。如要瞭解修訂版本的詳細資料，請參閱修訂版本總覽

apiVersion: v1
data:
  mesh: |-
    ...
    defaultConfig:
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: "true"        
    ...
kind: ConfigMap
metadata:
  name: istio-<revision_name>
  namespace: istio-system

個別 Proxy 設定

如要為 Proxy 設定 DNS Proxy，請新增 ISTIO_META_DNS_CAPTURE Proxy 中繼資料註解，如下所示：

kind: Deployment
metadata:
  name: app1
  namespace: ns1
spec:
...
  template:
    metadata:
      annotations:
        proxy.istio.io/config: |
          proxyMetadata:
            ISTIO_META_DNS_CAPTURE: "true"
...

驗證中

如要確認所有設定皆正確無誤，請執行下列步驟。

跨叢集解析 Service 的名稱

完成多叢集設定後，請僅在其中一個叢集中部署 Service，以驗證跨叢集名稱解析。

如果 Service ns1/svc1 如下例所示，您可以在 Service 中找到 ClusterIP。

$ kubectl get -n ns1 svc1
kind: Service
metadata:
  name: svc1
  namespace: ns1
spec:
...
  ClusterIP: 210.200.1.1
...

接著，從「其他」叢集使用 curl 至 Service 時，應會顯示 ClusterIP，如下所示。

curl -sS -v svc1.ns1.svc.cluster.local
*   Trying 210.200.1.1:80...

ServiceEntry 的名稱解析

新增 ServiceEntry，並使用未在 DNS 中註冊的主機名稱。如要驗證名稱解析，請參考下列範例，其中包含明確位址 192.168.123.123。

$ kubectl apply -f - <<EOF
apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: test-service-entry
spec:
  addresses:
  - "192.168.123.123"
  hosts:
  - not-existing-hostname.internal
  ports:
  - name: http
    number: 80
    protocol: HTTP
EOF

接著，在已啟用 DNS Proxy 的 Pod 中嘗試 DNS 解析。舉例來說，如果您在 Pod 中執行 curl，系統應會顯示 IP 位址，如下所示：

curl -sS -v not-existing-hostname.internal
*   Trying 192.168.123.123:80...

ServiceEntry 的 IP 自動分配

搭配 DNS Proxy 使用 ServiceEntry 時，您可以選擇啟用 IP 自動分配功能。啟用後，系統會自動為未在 spec.addresses 中指定明確 IP 位址的 ServiceEntry 主機，分配內部 IP 位址 (來自 240.240.0.0/16 範圍)。

啟用 IP 自動分配功能

如要啟用 IP 自動分配功能，請按照控制層實作方式的操作說明進行：

TRAFFIC_DIRECTOR

如要實作 TRAFFIC_DIRECTOR 控制層，請在 istio-system 命名空間中，設定 asm-options ConfigMap 的 IP 自動分配功能，方法是設定 ip_auto_allocation: "true"。

以下範例顯示已啟用 IP 自動分配功能的 asm-options ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: asm-options
  namespace: istio-system
data:
  # Enable IP auto-allocation for ServiceEntry (Rapid channel)
  ip_auto_allocation: "true"

您也可以使用 kubectl patch 套用這項設定：

kubectl patch configmap/asm-options -n istio-system --type merge \
  -p '{"data":{"ip_auto_allocation":"true"}}'

ISTIOD

如果叢集使用 ISTIOD 控制層實作 (叢集內或代管 ISTIOD)，請在 MeshConfig 的 Proxy 中繼資料中新增 ISTIO_META_DNS_AUTO_ALLOCATE: "true"，設定 IP 自動分配功能：

apiVersion: v1
data:
  mesh: |-
    defaultConfig:
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: "true"
        ISTIO_META_DNS_AUTO_ALLOCATE: "true"
kind: ConfigMap
metadata:
  name: istio-<revision_name>
  namespace: istio-system

驗證 IP 自動分配

您可以按照下列步驟，確認 IP 自動分配功能是否正常運作。

驗證前，請先建立 ServiceEntry，但不指定 spec.addresses：

$ kubectl apply -f - <<EOF
apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: auto-allocated-service-entry
  namespace: ns1
spec:
  hosts:
  - auto-allocated.internal
  ports:
  - name: http
    number: 80
    protocol: HTTP
  resolution: DNS
EOF

1. 查看 status.addresses 中分配的位址 (僅限 TRAFFIC_DIRECTOR)

在 TRAFFIC_DIRECTOR 實作中，控制器會分配 VIP 並填入 ServiceEntry 的 status.addresses 欄位：

$ kubectl get serviceentry auto-allocated-service-entry -n ns1 -o yaml

輸出內容會在 status.addresses 下方顯示分配的位址：

status:
  addresses:
  - host: auto-allocated.internal
    value: 240.240.0.1

2. 測試 Pod (TRAFFIC_DIRECTOR 和 ISTIOD) 的 DNS 解析

在 TRAFFIC_DIRECTOR 和 ISTIOD 實作中，從已啟用 DNS Proxy 的 Pod 傳送要求，確認名稱解析會解析為分配的 VIP：

$ kubectl exec deploy/curl -n ns1 -- curl -sS -v http://auto-allocated.internal

連線嘗試應解析為自動分配的 VIP (例如 240.240.0.1:80)：

*   Trying 240.240.0.1:80...