1
votes

NLB -> Istio Gateway vs ALB -> Istio Gateway

Je crois comprendre que vous allez avoir un NLB ou un ALB devant votre Istio Gateway de toute façon?

Mais je suis confus car il semble qu'Istio Gateway fasse beaucoup de choses que ALB fait pour la couche 7 et même plus?

Alors j'ai lu ALB -> Istio Gateway est ok, mais n'est-ce pas redondant? Qu'en est-il de NLB -> ALB -> Istio Gateway, qui semble trop?

Il semble qu'il soit préférable d'avoir NLB -> Istio Gateway pour les laisser gérer respectivement la couche 4 et la couche 7 comme ils le font le mieux, quelqu'un peut-il éclairer et confirmer?

kubernetes ibm-cloud load-balancing istio nlb

0 commentaires

3 Réponses :

3
votes

Si vous utilisez Istio, oui, il a été créé à l'origine avec le contrôleur d'entrée à l'esprit. Gateway + Virtual Service permet essentiellement ce que vous voulez. Certains contrôleurs d'entrée sont plus faciles et ont des avantages différents, mais si istio gère tout ce que vous voulez, alors allez-y.

0 commentaires

2
votes

Oui, l'utilisation de la passerelle ALB -> Istio est redondante, car le service virtuel prend en charge toutes vos règles de routage personnalisées (au lieu d'ALB). L'utilisation d'un nom d'hôte NLB devant la passerelle Istio est la méthode la plus simple et recommandée dans la documentation ici: https://cloud.ibm.com/docs/containers?topic=containers-istio#no-tls

0 commentaires

0
votes

Je ne dirais pas que ALB est redondant, ALB a quelques options que vous ne pouvez pas exploiter d'istio:

vous ne pouvez pas ajouter WAF au-dessus de NLB, ce qui exposerait votre application à des problèmes de sécurité ou vous devrez résoudre ce problème dans le cluster
il existe des scénarios où vous voudriez réellement déplacer le trafic vers un autre pool d'instances EC2, ce serait difficile de le faire avec istio
si vous souhaitez effectuer un déchargement SSL
selon votre application, il serait potentiellement dangereux d'utiliser NLB car il n'y a pas de sécurité (groupes de sécurité) ajouté au-dessus de votre NLB en tant que tel, vous auriez besoin d'exposer vos nœuds directement à Internet

0 commentaires