Perché gli sviluppatori stanno creando microservizi basati su proxy

L'ascesa dei microservizi basati su proxy: svelare l'architettura

L'essenza dei microservizi basati su proxy

Le architetture di microservizi basate su proxy interpongono un proxy di rete leggero tra le istanze del servizio e il mondo esterno, che si tratti di altri servizi o client. Questo proxy, spesso chiamato "sidecar", è più di un semplice vigile urbano: è una sentinella silenziosa che intercetta, ispeziona e trasforma le richieste mentre attraversano la rete effimera dei microservizi.

Perché adottare questo approccio?

• Separazione delle preoccupazioni: Scaricare le preoccupazioni trasversali (sicurezza, osservabilità, affidabilità) dalla logica aziendale
• Applicazione uniforme della politica: Centralizzare il controllo degli accessi, la limitazione della velocità e l'interruzione dei circuiti
• Modelli di resilienza: Iniettare nuovi tentativi, fallback e timeout in modo trasparente
• Osservabilità: Cattura tracce e metriche senza modificare il codice
• Sicurezza Zero-Trust: Crittografa tutto il traffico e verifica automaticamente le identità

Anatomia architettonica: come i proxy incarnano l'etica dei microservizi

Modello Sidecar

Ogni pod di servizio è accompagnato da un processo proxy: Envoy, Linkerd o HAProxy sono le scelte più comuni. Il traffico destinato al servizio viene instradato attraverso il sidecar, che applica le policy di rete, raccoglie i dati di telemetria e gestisce la crittografia mTLS.

Esempio di manifesto (Kubernetes + Istio):

apiVersion: v1 kind: Pod metadata: name: poets-service spec: containers: - name: poets-app image: registry.example.com/poets:latest - name: istio-proxy image: docker.io/istio/proxyv2:1.18.0 args: ["proxy", "sidecar"]

Istio inietta automaticamente il istio-proxy sidecar, tessendo un arazzo invisibile di controllo attorno al tuo servizio.

Service Mesh: la rete come organismo vivente

Una rete di servizi, come Istio, Linkerd, O Console Connect, orchestra la configurazione e il ciclo di vita di questi proxy, rendendo la rete service-to-service programmabile e osservabile.

Risorsa:
– Documentazione ufficiale di Envoy Proxy
– Architettura Linkerd

Vantaggi pratici: una tabella dei compromessi

Caratteristica	Microservizi basati su proxy	Microservizi tradizionali
Tracciamento distribuito	Nativo, trasparente	Strumentazione manuale
mTLS ovunque	Automatizzato	Responsabilità dell'applicazione
Interruzione del circuito	Dichiarativo, basato su policy	Esplicito nel codice
Limitazione della velocità	Centralizzato, dinamico	Decentralizzato, statico
Rilasci canarini	Suddivisione del traffico sul proxy	Gestito dal bilanciatore del carico
Scoperta del servizio	Integrato, dinamico	Registro esterno necessario
Isolamento dei guasti	Per richiesta, a livello di proxy	Livello di codice o infrastruttura

Questa tabella sussurra di un mondo in cui la rete non è più un ostacolo, ma una tela per l'innovazione.

Modelli attuabili: implementazione di microservizi basati su proxy

1. Distribuzione di un proxy sidecar

In Kubernetes, l'iniezione sidecar può essere automatizzata con strumenti come Istio o Linkerd.

Passo dopo passo: esempio Istio

1. Installa Istio:
   battere
curl -L https://istio.io/downloadIstio | sh -
cd istio-*
esporta PATH=$PWD/bin:$PATH
istioctl install --set profile=demo -y
kubectl etichetta namespace predefinito istio-injection=abilitato
2. Distribuisci il tuo servizio:
   “`yaml
   apiVersion: v1
   tipo: Servizio
   metadati:
   nome: poets-app
   specifiche:
   porti:
   • porta: 80
     nome: http
     selettore:
     app: poeti

---

apiVersion: apps/v1
tipo: Distribuzione
metadati:
nome: poeti-schieramento
specifiche:
repliche: 1
selettore:
Etichette di corrispondenza:
app: poeti
modello:
metadati:
etichette:
app: poeti
specifiche:
contenitori:
– nome: poets-app
immagine: registry.example.com/poets:latest
“`
L'iniezione Sidecar aggiungerà automaticamente il proxy Envoy; niente più noiosi boilerplate.

1. Applicare la politica sul traffico:
   yaml
apiVersion: networking.istio.io/v1alpha3
tipo: DestinationRule
metadati:
nome: poeti-destinazione
specifiche:
host: poets-app
Politica del traffico:
pool di connessioni:
tcp:
maxConnessioni: 1

2. Osservabilità senza modifiche al codice

Una volta che i proxy sono in atto, la telemetria scorre come il vino a una serata francese. Istio e Linkerd espongono le metriche tramite endpoint Prometheus, pronti per Grafana cruscotti.

Metriche di recupero:

kubectl -n istio-system port-forward svc/prometheus 9090 # Apri http://localhost:9090 per interrogare le metriche

3. Applicazione di mTLS senza l'intervento dello sviluppatore

Configura le regole di autenticazione peer e di destinazione e la mesh crittografa tutte le comunicazioni tra servizi.

Esempio di autenticazione peer Istio:

apiVersion: security.istio.io/v1beta1 kind: PeerAuthentication metadata: name: default namespace: default spec: mtls: mode: STRICT

Non sarà più necessario realizzare manualmente i tunnel TLS in ogni servizio.

Esempio a livello di codice: interruzione del circuito senza codice

DestinationRule (Istio) per l'interruzione del circuito:

apiVersion: networking.istio.io/v1alpha3 kind: DestinationRule metadata: name: circuit-breaker spec: host: poets-app trafficPolicy: outlierDetection: consecutive5xxErrors: 1 interval: 1s baseEjectionTime: 30s maxEjectionPercent: 100

Questo incantesimo YML conferisce resilienza al tuo servizio, senza dover apportare modifiche al codice.

Quando non utilizzare i microservizi basati su proxy

Scenario	Mesh basata su proxy	Alternativa più semplice
< 5 servizi, bassa complessità	Spese generali	Comunicazione diretta
Servizi Edge, solo rivolti al pubblico	Inutile	Gateway API
Ambienti con risorse altamente limitate	Potrebbe essere pesante	Proxy leggeri

Ulteriori letture e risorse

• Concetti di sicurezza Istio
• Catena di filtri proxy Envoy
• Confronto tra Linkerd e Istio
• Consul Connect Service Mesh

Il polso del cloud moderno

Le architetture di microservizi basate su proxy, nella loro intricata coreografia di proxy e policy, esemplificano la ricerca di ordine e creatività tipica dell'era digitale. La rete, un tempo un mondo sotterraneo e oscuro, ora diventa un palcoscenico: ogni proxy, un attore, ogni richiesta, un verso fugace nella poesia dei sistemi distribuiti.