Alibaba Cloud Service Mesh：在流量管理中心配置本地限流

情境一：對服務的特定連接埠進行限流

對httpbin服務的8000連接埠進行限流。配置限流規則後，發往httpbin服務8000連接埠的所有請求都將受到流量速率限制。

1. 建立本地限流規則。

   1. 登入ASM控制台，在左側導覽列，選擇服務網格 > 網格管理。

   2. 在網格管理頁面，單擊目標執行個體名稱，然後在左側導覽列，選擇流量管理中心 > 限流防護，然後單擊建立。

   3. 在建立頁面，按需進行以下配置，然後單擊確定。

      配置地區	配置項	說明
      限流基本資料	命名空間	本地限流配置的命名空間，需要配置為限流生效的工作負載的所在命名空間。本樣本選擇default。
      	名稱	本地限流配置的自訂名稱。本樣本填寫httpbin。
      	生效工作負載類型	限流生效的工作負載類型，支援應用服務生效和網關生效。本樣本選擇應用服務生效。
      	關聯工作負載	需要填寫一系欄標籤索引值對，以選中具體工作負載。本樣本填寫標籤名為app，標籤值為httpbin。
      限流規則列表	服務Service連接埠	填寫服務的Kubernetes Service中聲明的連接埠號碼，需要為HTTP連接埠。本樣本填寫httpbin服務的HTTP連接埠8000。
      	限流配置	指定本地限流令牌桶演算法的檢測時間視窗長度與時間視窗內允許的請求數量。在時間視窗內發送的請求數量超過該允許的數量則會對請求進行限流。本樣本配置如下： 限流檢測時間視窗填寫60秒。 時間視窗內允許請求數量填寫10。 以上配置表示發往此服務的工作負載的請求不得在60秒內連續發送10個以上。

      

      以上配置對應的本地限流配置YAML如下。

      展開查看本地限流配置YAML

      apiVersion: istio.alibabacloud.com/v1beta1
      kind: ASMLocalRateLimiter
      metadata:
        name: httpbin
        namespace: default
      spec:
        configs:
          - limit:
              fill_interval:
                seconds: 60
              quota: 10
            match:
              vhost:
                name: '*'
                port: 8000
                route:
                  header_match:
                    - invert_match: false
                      name: ':path'
                      prefix_match: /
        isGateway: false
        workloadSelector:
          labels:
            app: httpbin

2. 驗證本地限流規則。

   1. 執行以下命令，進入sleep環境開啟bash。

      kubectl exec -it deploy/sleep -- sh

   2. 執行以下命令，發送10個請求。

      for i in $(seq 1 10); do curl -v http://httpbin:8000/headers; done

   3. 執行以下命令，發送第11個請求。

      curl -v http://httpbin:8000/headers

      預期輸出：

      *   Trying 172.16.245.130:8000...
      * Connected to httpbin (172.16.245.130) port 8000
      > GET /headers HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.5.0
      > Accept: */*
      >
      < HTTP/1.1 429 Too Many Requests
      < x-local-rate-limit: true
      < content-length: 18
      < content-type: text/plain
      < date: Tue, 26 Dec 2023 08:02:58 GMT
      < server: envoy
      < x-envoy-upstream-service-time: 2

      由預期輸出得到，返回HTTP 429的狀態代碼。請求已被限流。

情境二：在服務特定連接埠上，針對發往指定路徑的請求進行限流

對httpbin服務的8000連接埠進行限流，並限制限流只在訪問/headers路徑的請求上生效。配置限流規則後，發往httpbin服務8000連接埠且訪問路徑/headers的所有請求都將受到流量速率限制。

1. 建立本地限流規則。

   1. 登入ASM控制台，在左側導覽列，選擇服務網格 > 網格管理。

   2. 在網格管理頁面，單擊目標執行個體名稱，然後在左側導覽列，選擇流量管理中心 > 限流防護，然後單擊建立。

   3. 在建立頁面，按需進行以下配置，然後單擊確定。

      配置地區	配置項	說明
      限流基本資料	命名空間	本地限流配置的命名空間，需要配置為限流生效的工作負載的所在命名空間。本樣本選擇default。
      	名稱	本地限流配置的自訂名稱。本樣本填寫httpbin。
      	生效工作負載類型	限流生效的工作負載類型，支援應用服務生效和網關生效。本樣本選擇應用服務生效。
      	關聯工作負載	需要填寫一系欄標籤索引值對，以選中具體工作負載。本樣本填寫標籤名為app，標籤值為httpbin。
      限流規則列表	服務Service連接埠	填寫服務的Kubernetes Service中聲明的連接埠號碼，需要為HTTP連接埠。本樣本填寫httpbin服務的HTTP連接埠8000。
      	匹配請求屬性	填寫生效限流配置的具體請求匹配規則。本樣本配置如下： 匹配屬性選擇請求路徑。 匹配方法選擇首碼匹配。 匹配內容填寫/headers。
      	限流配置	指定本地限流令牌桶演算法的檢測時間視窗長度與時間視窗內允許的請求數量。在時間視窗內發送的請求數量超過該允許的數量則會對請求進行限流。本樣本配置如下： 限流檢測時間視窗填寫60秒。 時間視窗內允許請求數量填寫10。 以上配置表示發往此服務的工作負載的請求不得在60秒內連續發送10個以上。

      

2. 驗證本地限流規則。

   1. 執行以下命令，進入sleep環境開啟bash。

      kubectl exec -it deploy/sleep -- sh

   2. 執行以下命令，發送10個請求。

      for i in $(seq 1 10); do curl -v http://httpbin:8000/headers; done

   3. 執行以下命令，發送第11個請求。

      curl -v http://httpbin:8000/headers

      預期輸出：

      *   Trying 172.16.245.130:8000...
      * Connected to httpbin (172.16.245.130) port 8000
      > GET /headers HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.5.0
      > Accept: */*
      >
      < HTTP/1.1 429 Too Many Requests
      < x-local-rate-limit: true
      < content-length: 18
      < content-type: text/plain
      < date: Tue, 26 Dec 2023 08:02:58 GMT
      < server: envoy
      < x-envoy-upstream-service-time: 2

      由預期輸出得到，返回HTTP 429的狀態代碼。請求已被限流。

   4. 執行以下命令，向httpbin服務的/get路徑發送請求。

      curl -v http://httpbin:8000/get

      預期輸出：

      *   Trying 192.168.243.21:8000...
      * Connected to httpbin (192.168.243.21) port 8000 (#0)
      > GET /get HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.1.2
      > Accept: */*
      >
      < HTTP/1.1 200 OK
      < server: envoy
      < date: Thu, 11 Jan 2024 03:46:11 GMT
      < content-type: application/json
      < content-length: 431
      < access-control-allow-origin: *
      < access-control-allow-credentials: true
      < x-envoy-upstream-service-time: 1
      <
      {
        "args": {},
        "headers": {
          "Accept": "*/*",
          "Host": "httpbin:8000",
          "User-Agent": "curl/8.1.2",
          "X-Envoy-Attempt-Count": "1",
          "X-Forwarded-Client-Cert": "By=spiffe://cluster.local/ns/default/sa/httpbin;Hash=be10819991ba1a354a89e68b3bed1553c12a4fba8b65fbe0f16299d552680b29;Subject=\"\";URI=spiffe://cluster.local/ns/default/sa/sleep"
        },
        "origin": "127.0.0.6",
        "url": "http://httpbin:8000/get"
      }

      由預期輸出得到，返回200狀態代碼。發往httpbin服務的其他路徑的請求並未受到限流規則影響。

相關操作

相關文檔

• 若您的ASM版本為1.19.0及以上，本地限流YAML還支援通過limit_overrides欄位對請求查詢參數等其他請求屬性進行匹配。更多資訊，請參見ASMLocalRateLimiter CRD說明。

• 您可以使用ASMGlobalRateLimiter CRD，對入口網關和應用服務入口流量配置全域限流。具體操作，請參見使用ASMGlobalRateLimiter對應用服務入口流量配置全域限流。

• 您可以通過ASM控制台為入口網關配置本地限流或全域限流。具體操作，請參見為入口網關配置本地限流和為入口網關配置全域限流。

• 您可以使用慢啟動預熱功能，在規定時間段內逐步增加請求量，避免出現請求逾時、資料丟失等問題。具體操作，請參見使用ASM慢啟動預熱功能。

• 您可以配置串連池實現熔斷功能，在系統出現故障或超負荷的情況下，保護系統免受進一步的損害。具體操作，請參見配置串連池實現熔斷功能。