Solo.io Gloo 多网关部署架构与配置指南

前言

在现代微服务架构中，API网关作为流量入口扮演着至关重要的角色。Solo.io Gloo 提供了灵活的多网关部署方案，允许用户根据业务需求部署多个网关实例，实现流量隔离和差异化配置。本文将深入解析 Gloo 的多网关架构设计原理，并提供详细的配置示例。

核心概念解析

物理与逻辑分离的架构设计

Gloo 采用了物理与逻辑分离的架构设计理念：

• 物理网关（Proxy）：实际运行的 Envoy 代理实例，表现为 Kubernetes 集群中的 gateway-proxy Pod。这些是真正的流量处理单元。

• 逻辑网关（Gateway）：定义 Envoy 监听器的配置，包括协议、端口和虚拟主机等。一个物理网关可以承载多个逻辑网关。

关键组件关系

1. Gateway CRD：定义监听器的配置规范
2. Proxy CRD：由 Gloo 控制器自动生成，描述实际的 Envoy 实例
3. VirtualService CRD：定义路由规则，与 Gateway 关联

典型应用场景

多网关部署特别适合以下场景：

1. 内外网流量隔离：为公网和内网分别部署独立的网关
2. 安全等级划分：不同安全要求的服务使用不同的网关
3. 协议差异化：HTTP、HTTPS、TCP 等不同协议需要独立配置
4. 流量特性区分：高吞吐与低延迟等不同特性的流量分离

详细配置示例

多网关部署配置

以下是一个完整的 Helm 配置示例，展示了如何部署两个独立的网关：

gloo:
  gatewayProxies:
    # 面向公网的网关配置
    publicGw:
      disabled: false
      kind:
        deployment:
          replicas: 2  # 双副本确保高可用
      service:
        httpPort: 80
        httpsFirst: true  # 强制HTTPS
        httpsPort: 443
        type: LoadBalancer  # 使用负载均衡器
      tcpKeepaliveTimeSeconds: 5  # TCP保活设置
      gatewaySettings:
        customHttpsGateway:
          virtualServiceSelector:
            gateway-type: public  # 选择标有public的VirtualService
        disableHttpGateway: true  # 禁用HTTP网关
    
    # 面向内网的网关配置
    corpGw:
      disabled: false
      service:
        httpPort: 80
        httpsFirst: false  # 不强制HTTPS
        httpsPort: 443
        httpNodePort: 32080  # 固定NodePort
        type: NodePort  # 使用NodePort
      tcpKeepaliveTimeSeconds: 5
      gatewaySettings:
        customHttpGateway:
          virtualServiceSelector:
            gateway-type: private  # 选择标有private的VirtualService
        disableHttpsGateway: true  # 禁用HTTPS网关
    
    # 禁用默认网关
    gatewayProxy:
      disabled: true

虚拟服务配置

为不同网关配置对应的虚拟服务：

# 公网虚拟服务
apiVersion: gateway.solo.io/v1
kind: VirtualService
metadata:
  name: httpbin
  namespace: gloo-system
  labels:
    gateway-type: public  # 匹配public网关
spec:
  sslConfig:  # 强制TLS
    secretRef:
      name: upstream-tls
      namespace: gloo-system
  virtualHost:
    domains:
    - '*.mycompany.com'  # 公网域名
    routes:
    - matchers:
      - prefix: /
      routeAction:
        single:
          upstream:
            name: default-httpbin-8000
            namespace: gloo-system

# 内网虚拟服务
apiVersion: gateway.solo.io/v1
kind: VirtualService
metadata:
  name: httpbin-private
  namespace: gloo-system
  labels:
    gateway-type: private  # 匹配private网关
spec:
  virtualHost:
    domains:
    - '*.mycompany.corp'  # 内网域名
    routes:
    - matchers:
      - prefix: /
      routeAction:
        single:
          upstream:
            name: default-httpbin-8000
            namespace: gloo-system

部署验证

部署完成后，可以通过以下方式验证配置：

1. 检查网关状态：

glooctl get proxy

2. 检查虚拟服务状态：

glooctl get vs

3. 检查Kubernetes资源：

kubectl -n gloo-system get gw,deploy

高级配置建议

1. 性能调优：

   • 根据流量特征调整 tcpKeepaliveTimeSeconds
   • 为高负载网关配置更多副本

2. 安全增强：

   • 为公网网关配置WAF插件
   • 实施严格的mTLS策略

3. 监控配置：

   • 为每个网关配置独立的监控指标
   • 设置差异化的告警阈值

替代方案：混合网关

对于基于客户端IP或SSL配置的流量区分场景，可以考虑使用混合网关（Hybrid Gateway）方案。这种方案可以在单个网关实例中实现多逻辑网关的功能，简化部署架构。

总结

Solo.io Gloo 的多网关部署架构提供了极大的灵活性，允许用户根据实际需求设计复杂的流量管理方案。通过物理与逻辑分离的设计，既保证了部署的灵活性，又确保了配置的清晰性。本文提供的配置示例可以作为实际部署的参考模板，根据具体业务需求进行调整。