将流量从 Cloud Service Mesh 工作负载路由到 Compute Engine 虚拟机

本页面介绍了如何安全地将网络流量从 GKE 上的 Cloud Service Mesh 工作负载路由到由 BackendService 提供前端的 Compute Engine 虚拟机。

请注意，在将流量从 GKE 路由到 Compute Engine 虚拟机时，无需让 Compute Engine 虚拟机或 BackendService 加入 Cloud Service Mesh。不过，Compute Engine 虚拟机和 BackendService 必须与 Cloud Service Mesh GKE 集群位于同一项目中。此功能在公开预览版中可用时，存在此限制。Compute Engine 虚拟机不支持 MTLS

准备工作

以下部分假定您：

  1. 具有已启用 Cloud Service Mesh 的 GKE 集群。
  2. 已部署由 BackendService 提供前端的 Compute Engine 虚拟机。

或者，您也可以运行以下命令，以部署由 BackendService 提供前端的示例 Compute Engine 虚拟机。

  1. 部署示例 Compute Engine 虚拟机和 BackendService：

    gcloud compute instance-templates create td-httpd-vm-template \
  --scopes=https://www.googleapis.com/auth/cloud-platform \
  --tags=http-td-server \
  --image-family=debian-11 \
  --image-project=debian-cloud \
  --metadata=startup-script="#! /bin/bash
sudo apt-get update -y
sudo apt-get install apache2 -y
sudo service apache2 restart
echo '<!doctype <html><body><h1>'\`$(/bin/hostname)\`'</h1></body></html>' | sudo tee /var/www/html/index.html"

gcloud compute instance-groups managed create http-td-mig-us-east1 \
  --zone=VM_ZONE   \
  --size=2 \
  --template=td-httpd-vm-template

gcloud compute health-checks create http http-helloworld-health-check

gcloud compute firewall-rules create http-vm-allow-health-checks \
  --network=default \
  --action=ALLOW \
  --direction=INGRESS \
  --source-ranges=0.0.0.0/0 \
  --target-tags=http-td-server \
  --rules=tcp:80

gcloud compute backend-services create helloworld \
  --global \
  --load-balancing-scheme=INTERNAL_SELF_MANAGED \
  --protocol=HTTP \
  --health-checks http-helloworld-health-check

gcloud compute backend-services add-backend helloworld \
  --instance-group=http-td-mig-us-east1 \
  --instance-group-zone=VM_ZONE  \
  --global

    其中：

    • VM_ZONE 是您希望部署 Compute Engine 虚拟机的区域。

将 Compute Engine 虚拟机配置为 GCPBackend

在本部分中，您将使用 GCPBackend 将 Compute Engine 虚拟机公开给 GKE 工作负载。GCPBackend 包含：

  1. 前端信息 - 具体而言，GKE 工作负载用于调用此 GCPBackend 的主机名和端口。
  2. 后端信息 - BackendService 详细信息，例如服务名称、位置和项目编号。

GCPBackend 包含主机名和端口详细信息以及 BackendService 详细信息（服务名称、位置和项目编号）。GKE 工作负载应在 HTTP 请求中使用 GCPBackend 主机名和端口，来访问 Compute Engine 虚拟机。

如需使主机名 DNS 在集群内可解析（默认情况下无法解析），您必须将 Google Cloud DNS 配置为将所选主机名下的所有主机解析为任意 IP 地址。在您配置此 DNS 条目之前，请求会失败。 Google Cloud DNS 配置是每个自定义网域的一次性设置。

  1. 创建托管式区域：

    gcloud dns managed-zones create prod \
    --description="zone for gcpbackend" \
    --dns-name=gcpbackend \
    --visibility=private \
    --networks=default

    在此示例中，DNS 名称为 gcpbackend，VPC 网络为 default。

  2. 设置记录以使该网域可解析：

    gcloud beta dns record-sets create *.gcpbackend \
  --ttl=3600 --type=A --zone=prod \
  --rrdatas=10.0.0.1

  3. 使用上一个网域下的主机名创建 GCPBackend：

    cat <<EOF > gcp-backend.yaml
apiVersion: networking.gke.io/v1
kind: GCPBackend
metadata:
  name: vm-gcp-backend
  namespace: NAMESPACE
spec:
  type: "BackendService"
  hostname: hello-world.gcpbackend
  backendservice:
    name: helloworld
    location: global
EOF
kubectl apply -f gcp-backend.yaml

    在此示例中，GCP_BACKEND_NAME 是 vm-gcp-backend。

  4. 创建测试 Pod 以验证 GKE 到 Compute Engine 虚拟机的连接：

    cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  name: testcurl
  namespace: default
spec:
  containers:
  - name: curl
    image: curlimages/curl
    command: ["sleep", "3000"]
EOF

kubectl exec testcurl -c curl -- curl http://hello-world.gcpbackend:80

    现在，您的 GKE 工作负载可以通过向 hello-world.gcpbackend:80 发送 HTTP 请求来访问 Compute Engine 虚拟机。

您应为 GCPBackend 使用不同的名称，以免与现有的 Kubernetes 服务或 Istio 服务条目冲突。如果存在冲突，优先顺序（从高到低）为 Kubernetes Service、istio ServiceEntry 和 GCPBackend。

请注意，虚拟服务和 GCPBackend 必须位于同一命名空间中，并且 Compute Engine 虚拟机必须与 Cloud Service Mesh GKE 集群位于同一项目中。