Скорее всего, вы уже слышали про service mesh — в последние два-три года этот подход становится все популярнее. InfoQ в своём отчёте о трендах программной архитектуры за 2021 год отнесли service mesh к категории Early Majority (раннее большинство).

Одной из распространенных моделей service mesh считается Sidecar-прокси, которые отвечают за сетевое взаимодействие, безопасность и мониторинг. Правда у этой модели помимо плюсов есть и свои минусы: падение производительности, дополнительные издержки при развертывании и др. В этой статье поговорим о том, сможет ли решить эти проблемы плагин с eBPF, а также о том, как он меняет наш подход к работе с service mesh. 

Что такое service mesh

Подробности можно почитать здесь. В двух словах:

service mesh — это технология, которая управляет взаимодействием между сервисами в распределённой системе. Service mesh отвечает за горизонтальный трафик (east-west) внутри дата-центра, кластера Kubernetes или распределённой системы.

Эволюция моделей service mesh

Сейчас хорошо известно два типа моделей service mesh: с общей библиотекой и sidecar-прокси.

Если мы используем модель с общей библиотекой, приложение реализует возможности service mesh с помощью библиотек для конкретных языков. Это может быть не одна библиотека, а несколько.

У этой модели есть свои плюсы и минусы. Более популярная модель с sidecar-прокси реализует функционал service mesh с помощью sidecar-прокси, который размещается рядом с приложением.

Sidecar-прокси — очень важная часть service mesh. Подробнее о них можно почитать в этой статье. Sidecar-прокси отвечают за сетевое взаимодействие, безопасность и мониторинг.

В чем проблема sidecar-прокси

За несколько лет разработчики заметили несколько недостатков этого подхода:

• Sidecar у каждого приложения требует дополнительных ресурсов и затрат. В этой статье можно почитать о том, как много памяти потребляет прокси Envoy в крупных развёртываниях.

• Из-за service mesh может падать производительность, как описано в этой статье.

• Приходится мониторить не только сам сервис, но и его sidecar.

• Развёртывание и обслуживание sidecar’ов требует дополнительных издержек.

Что даёт eBPF?

Service mesh без sidecar’ов с eBPF

Cilium показали концепцию service mesh на базе eBPF, где заботу о сетевом взаимодействии, безопасности и мониторинге берет на себя плагин с eBPF в ядре.

Больше о eBPF читайте в этой статье.

Схема модели service mesh на базе eBPF:

С помощью eBPF команда Cilium уже расширяет некоторые возможности service mesh, например:

• безопасность на основе идентификаторов;

• авторизация и наблюдаемость на уровнях L3–L7;

• шифрование;

• балансировки нагрузки;

• и т. д.

В бета-версии программы представлено несколько недостающих возможностей service mesh:

• управление трафиком и балансировка нагрузки на L7 (HTTP, gRPC и т. д.);

• маршрутизация по кластерам, облакам и локальным ресурсам с учётом топологии;

• терминация TLS;

• канареечные развёртывания, повторы запросов, rate linit, размыкание цепи (circuit breaker) и т. д. через Envoy;

• трейсинг с OpenTelemetry и Jaeger;

• встроенная поддержка Kubernetes Ingress.

Преимущества service mesh с eBPF

Их немало. Например:

• Начальные эксперименты показывают, что задержки при работе с eBPF гораздо меньше, чем с sidecar-прокси. 

• При использовании eBPF нам нужно гораздо меньше прокси — по одному на ноду, а не по одному на сервис. Если у нас, например, 30 сервисов на ноде и мы используем sidecar’ы, то их на ноде будет тоже 30, а если у нас eBPF, то прокси на ноде будет всего один.

• Чем меньше прокси, тем меньше издержек на развёртывание, память и ресурсы.

Заключение

У eBPF есть потенциал стать нативной и очень эффективной реализацией service mesh, которая освободит нас от sidecar’ов. Это позволит нам внедрить технологию прокси в уже существующую концепцию изоляции namespaces, реализованную в ядре. Таким образом она станет частью изящной концепции контейнеров, которую мы используем каждый день. 

Кроме того, eBPF будет брать на себя всё больше и больше функций, которые сейчас выполняют прокси, чтобы и дальше сокращать издержки и упрощать систему.

Источники:

How eBPF will solve Service Mesh – Goodbye Sidecars

How eBPF Streamlines the Service Mesh