服務網(wǎng)格的采用率持續(xù)增長，一些組織仍在試圖全面了解服務網(wǎng)格可以做什么和不能做什么。

他們可能沒有意識到服務網(wǎng)格不僅僅是另一個單一用途的工具，而是一個能夠滿足各種網(wǎng)絡需求的工具。服務網(wǎng)格實際上可能有助于整合多個現(xiàn)有工具，以幫助減少管理工作量和成本。

看看這兩種多云網(wǎng)絡架構。

將網(wǎng)絡服務和安全相關功能自動化并卸載到與云無關的服務網(wǎng)格上，可以幫助簡化多云環(huán)境中的管理。

使用云供應商特定網(wǎng)絡解決方案的多云架構：

使用云不可知服務網(wǎng)格：

許多服務網(wǎng)格產(chǎn)品包括服務發(fā)現(xiàn)、零信任網(wǎng)絡和負載均衡功能，而其他一些服務網(wǎng)格產(chǎn)品則進一步擴展，以提供多云/多運行時連接、網(wǎng)絡自動化和南北流量控制。讓我們看看云不可知服務網(wǎng)格的功能，以及它在跨環(huán)境整合現(xiàn)有工具以幫助減少管理工作和費用方面的潛力。

服務發(fā)現(xiàn)

服務發(fā)現(xiàn)允許開發(fā)人員對其網(wǎng)絡上所有注冊服務的網(wǎng)絡位置和運行狀況進行編目和跟蹤。在服務不斷增加和減少的動態(tài)環(huán)境中，它是一種重要的功能。這通常是為網(wǎng)格應用服務的第一步。

有許多方法可以獲得服務發(fā)現(xiàn)功能。但Kubernetes、Amazon EKS、Azure AKS、Google GKE或AWS Cloud Map和Configuration Management Database（CMDB）等服務發(fā)現(xiàn)工具中內(nèi)置的常用功能通常特定于其運行的平臺或云。它們可以發(fā)現(xiàn)的服務范圍僅限于其特定平臺或云的邊界。然而，如今，大多數(shù)組織跨多個平臺或云環(huán)境運行應用程序，這意味著需要學習、安裝和管理多個服務發(fā)現(xiàn)解決方案。

更好的方法是一個可以跨多個運行時的云不可知服務網(wǎng)格。例如，HashiCorp Consor是一個不可知服務網(wǎng)格，包括對Kubernetes、虛擬機、Amazon ECS和HashiCorp Nomad的支持，允許組織跨多個異構環(huán)境集中全局服務發(fā)現(xiàn)。

通過將服務發(fā)現(xiàn)整合到服務網(wǎng)格中，平臺團隊可以將服務發(fā)現(xiàn)作為全球共享服務提供，與依靠單個團隊在沒有任何監(jiān)督的情況下運行和管理自己的服務發(fā)現(xiàn)工具相比，降低了成本，提高了合規(guī)性并簡化了管理。

零信任網(wǎng)絡

組織越來越多地尋求零信任網(wǎng)絡來保護其網(wǎng)絡和基礎設施，而不是僅僅依靠傳統(tǒng)的方法來保護網(wǎng)絡外圍。

與傳統(tǒng)的城堡和護城河安全方法不同（依賴于保護在現(xiàn)代基于云的環(huán)境中可能不存在的外圍），零信任安全認為，在授權和驗證之前，不應授予任何服務訪問權限，無論是在外圍內(nèi)部還是外部，并且所有通信都是加密的。

應用身份驗證、授權和加密的零信任網(wǎng)絡原則是一種主要的服務網(wǎng)格功能。服務網(wǎng)格通過代理（通常是代理）自動重定向服務之間的進出流量。這允許將授權、身份驗證和加密責任轉移到代理上。

服務網(wǎng)格使用服務身份而不是IP地址作為允許或拒絕授權的單元，大大簡化了服務對服務通信的管理。

管理員可以配置將由代理強制執(zhí)行的單個拒絕所有策略，以阻止所有服務到服務的通信。開發(fā)人員可以添加更細粒度的策略，以授權特定服務根據(jù)需要進行通信。

服務網(wǎng)格代理還將確保所有服務對服務通信自動進行身份驗證和加密。在任何服務通信之前，代理確保交換TLS證書，并加密網(wǎng)絡上的所有流量。這導致了更安全的網(wǎng)絡，即使在網(wǎng)絡中斷發(fā)生后，也可以防止服務之間的橫向移動。

最后，服務網(wǎng)格通過在開發(fā)周期的早期為管理員和開發(fā)人員提供授權、身份驗證和加密其網(wǎng)絡服務的能力，從本質上幫助組織左移。通過向左移，組織可以在投入生產(chǎn)之前減少由于不可預見的安全漏洞而導致的最后一刻延遲的風險。此外，使用服務網(wǎng)格左移可以使網(wǎng)絡管理員將精力放在保護網(wǎng)絡外圍而不是管理單個IP地址上。

服務網(wǎng)格是網(wǎng)絡管理員的力量倍增器，也是一個抽象層，允許開發(fā)人員專注于他們的應用程序，而不是安全邏輯，并避免管理和旋轉證書和密鑰的繁重工作。

負載均衡

由于服務網(wǎng)格上的數(shù)據(jù)流量流經(jīng)代理，因此服務網(wǎng)格還可以控制流量整形等功能。一個簡單的例子是服務的多個實例之間的負載均衡。服務網(wǎng)格允許在實例之間直接分布自定義流量模式，而不是通過單獨的負載均衡設備進行額外的網(wǎng)絡跳躍。即使在實例放大或縮小時，服務網(wǎng)格也可以動態(tài)調整流量分布。使用服務網(wǎng)格可以大大降低跨多個不同環(huán)境和云管理多個不同負載均衡設備的成本和復雜性。

與：

多云連接

許多組織擁有不同的團隊和服務，分布在給定云的不同網(wǎng)絡和區(qū)域。許多公司還跨多個云環(huán)境部署了服務。跨不同的云網(wǎng)絡安全地連接這些服務是一項非常理想的功能，通常需要網(wǎng)絡團隊付出巨大努力。此外，子網(wǎng)之間需要非重疊無類域間路由（CIDR）范圍的限制可能會阻止虛擬專用云（VPC）和虛擬網(wǎng)絡（VNET）之間的網(wǎng)絡連接。服務網(wǎng)格產(chǎn)品可以安全地連接在不同云網(wǎng)絡上運行的服務。

例如，HashiCorp-consu支持多數(shù)據(jù)中心拓撲，該拓撲使用網(wǎng)狀網(wǎng)關在跨云運行的不同網(wǎng)絡中的多個Consul部署之間建立安全連接。團隊A可以在EKS上部署一個Consul集群。團隊B可以在AKS上部署一個單獨的Consul集群。團隊C可以在私有內(nèi)部數(shù)據(jù)中心的虛擬機上部署Consul集群。可以在三個Consul集群之間建立多數(shù)據(jù)中心配置，允許EKS、AKS和虛擬機之間運行的服務安全連接，而無需額外的網(wǎng)絡配置，如VPN、Direct Connect或ExpressRoutes。即使IP范圍跨網(wǎng)絡重疊，Consul網(wǎng)格網(wǎng)關也允許對多個Consul部署進行集群。

自動化

自動化在動態(tài)環(huán)境中尤其有利。波動的需求要求運維人員擴展服務實例的數(shù)量，這是一項相當簡單的任務。然而，可能需要更新網(wǎng)絡防火墻、負載均衡器或其他網(wǎng)絡基礎設施，以便可以訪問新實例。類似地，新的應用程序服務可能需要更新網(wǎng)絡設備，然后客戶端才能訪問它們。

由于大多數(shù)組織都有獨立的網(wǎng)絡和安全團隊，因此這些工作流通常涉及手動申請網(wǎng)絡設備更新，可能需要數(shù)小時甚至數(shù)天才能完成。縮減服務規(guī)模或使其退役可能會導致更多的擔憂。這是因為網(wǎng)絡團隊從網(wǎng)絡設備中刪除IP地址的請求很容易被忽略，從而導致潛在的安全漏洞。

為了應對這些挑戰(zhàn)，一些服務網(wǎng)格與基礎設施配置工具（如HashiCorp Terraform）構建了獨特的集成。Consul與Terraform具有獨特的集成，可以自動觸發(fā)網(wǎng)絡設備更新和重新設置。運維人員可以配置Consu Terraform Sync（CTS），根據(jù)Consul目錄中服務的變化自動更新防火墻和負載均衡器等設備。這些任務的自動化減少了對手動系統(tǒng)的依賴，提高了工作流效率，并加強了組織的安全態(tài)勢。

南北流量管制

除了在組織網(wǎng)絡內(nèi)的服務之間整形和路由流量外，還需要提供從外部客戶端對這些服務的訪問。對于不打算擴展到單個云之外的組織來說，云原生選項（如AWS API Gateway、Azure API Management和Google Cloud API Gateway）可能是不錯的選擇。然而，對于在多個云上運行的組織來說，在單個公共平臺上進行標準化是有價值的。

包括Consul在內(nèi)的一些不可知服務網(wǎng)格具有內(nèi)置API網(wǎng)關，可以提供與云原生選項類似的功能。這使組織可以使用一個一致的管理平面來管理服務網(wǎng)格流量（東西）內(nèi)的流量以及來自外部客戶端（南北）的流量，從而無需跨不同環(huán)境部署多個不同的API網(wǎng)關。

誰從服務網(wǎng)格的工具整合中受益？

如果服務網(wǎng)格可以幫助整合不同運行時之間的許多不同工具，那么每個組織是否應該將服務網(wǎng)格合并到其基礎架構中？那要看情況了。

對于86%已經(jīng)在或計劃在多個云中的組織來說，服務網(wǎng)格無疑可以幫助遏制工具的蔓延。

即使是專注于單個云提供商的組織也可能要處理不同開發(fā)團隊選擇的不同運行時。在服務網(wǎng)格上標準化以提供全局服務發(fā)現(xiàn)、零信任網(wǎng)絡和負載均衡，也可以幫助這些組織減少工具擴展。像Consul這樣的不可知服務網(wǎng)格可以通過內(nèi)置功能提供進一步的工具整合，以連接云之間的服務，自動化網(wǎng)絡設備更新，并控制對外部客戶端服務的訪問。

雖然一些較小的組織可能看不到工具的顯著整合，但至少，他們?nèi)匀豢梢酝ㄟ^采用服務網(wǎng)格作為力倍增器來受益，以改善其整體安全態(tài)勢，而不會對開發(fā)人員、平臺工程師或網(wǎng)絡工程師施加額外的努力。