开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

告别 Sidecar——使用 eBPF 解锁内核级服务网格

在云计算领域中，Sidecar 是一种常用的代理模式，它可以在不修改应用程序代码的情况下，为应用程序提供额外的功能。Sidecar 模式通常涉及到部署额外的容器或进程，以便在应用程序容器和外部环境之间进行通信。然而，Sidecar 模式也存在一些缺点，例如难以管理和维护，以及对资源的消耗较高。

eBPF（扩展的伯克利包过滤器）是一种在 Linux 内核中运行的安全沙箱技术，它可以提供高性能的网络和系统级别的可编程扩展。eBPF 已经被广泛应用于诸如网络监控、网络策略执行、负载均衡等场景。通过使用 eBPF，可以在内核级别实现 Sidecar 模式的功能，从而避免了 Sidecar 模式的一些缺点。

使用 eBPF 解锁内核级服务网格可以提供更高效、更安全、更易于管理的服务网格。在这种模式下，应用程序可以直接与内核中的 eBPF 程序进行通信，从而避免了额外的网络跳跃和资源消耗。此外，由于 eBPF 程序在内核中运行，因此可以提供更高的安全性和更好的性能。

推荐的腾讯云相关产品：

腾讯云 TKE RegisterNode，可以帮助用户快速构建和管理基于 Kubernetes 的集群，并提供丰富的插件和扩展，以满足不同的业务需求。
腾讯云 TKE Anywhere，可以帮助用户在云上或本地环境中部署和管理 Kubernetes 集群，并提供丰富的插件和扩展，以满足不同的业务需求。
腾讯云 Cloud Function，可以帮助用户快速构建和部署 Serverless 应用程序，并提供丰富的插件和扩展，以满足不同的业务需求。

相关产品介绍链接地址：

页面内容是否对你有帮助？

有帮助

没帮助

相关·内容

告别 Sidecar—— 使用 EBPF 解锁内核级服务网格

作者回顾了 Linux 内核的连接性，实现服务网格的几种模式，以及如何使用 eBPF 实现无 Sidecar 的服务网格。什么是服务网格？...正如我们将在这篇文章中讨论的那样，服务网格正在发展成为一种内核责任，就像网络堆栈一样。基于库的服务网格模型今天，服务网格通常使用一种叫做 sidecar 模型的架构来实现。...在这篇文章的后面，我们将研究这两点，因为我们将其与基于 eBPF 的模型进行比较。用 eBPF 解锁内核服务网格为什么我们以前没有在内核中创建一个服务网格？...eBPF per-node Proxy eBPF 不依赖网络级的重定向，而是直接在套接字级别注入代理，保持路径短。...总结 eBPF 是提供本地和高效的服务网格实现的答案。它将把我们从 sidecar 模型中解放出来，并允许将现有的代理技术整合到现有的内核命名概念中，使它们成为我们每天都在使用的容器抽象的一部分。

1.3K2 0

（译）eBPF、Sidecar 和服务网格的未来

我们能够使用 eBPF 服务网格来代替代理服务器么？ eBPF 服务网格还是需要代理服务器根据前面对 eBPF 的铺垫，我们可以进行一些更深入的探讨。...但是 eBPF 结合用户空间代码的方式就能更好的应对复杂问题—— eBPF 负责一些专门问题，用户控件的代理服务器负责其他任务。节点级代理对比 Sidecar 所以 eBPF 服务网格还是需要代理。...但是是不是一定要 Sidecar 模型呢？如果我们用节点级代理——是不是能够有一个无 Sidecar、有 eBPF 的服务网格呢？是的——不过这不是个好主意。...eBPF 能卸载网格的一部分工作，它最合适的合作方是 Sidecar 而非节点级代理——让 Sidecar 变快的同时还能保持容器化的可管理性和安全性。...eBPF 的目的不会是“用干掉 Sidecar 的方式来降低服务网格的复杂性并提高服务网格的性能”。 eBPF 的能力最终会进化到去掉代理直接处理服务网格的 7 层流量吗？

7463 0

再见 Sidecar：eBPF 能抢过 Istio 服务网格的风头吗？

使用带有 Sidecar 模式的服务网格比不使用服务网格和不得不在每个微服务中进行管理要容易得多，因此，为了在服务网格中对微服务进行集中管理，它们愿意为托管支付更多的费用和 / 或接受性能上的影响。...然而，今天，一个更好的世界已经成为可能——因为 eBPF 可以在不需要处理内核模块或者修改内核源的情况下，就可以直接在 Linux 内核中运行超高效、超安全的动态代码。...对于需要服务网格的工程师来说，这意味着，使用 eBPF，传统上使用 Sidecar 容器实现的微服务治理可以通过 eBPF 程序在内核中处理。...由于 eBPF 程序可以在 Kubernetes 集群中的每个（基于 Linux 的）节点上运行，它们可以从内核中直接管理微服务的连接性、安全性和可观察性，而不是作为单独的服务网格运行。...这种方法将解决与 Istio 等传统服务网格相关的几个挑战。性能：由于 eBPF 程序消耗的资源极少，与使用 Sidecar 结构相比，它们将极大地减少运行服务网格的开销。

5472 0

解读服务网格的2021：告别架构“大跃进”，技术生态百家争鸣

eBPF eBPF 技术的出现使得在 Linux 内核编程并运行沙盒程序成为可能，而且无需更改内核源代码或加载内核模块。这就使得开发者可以从内核出发增强系统的可观察性、优化网络及其安全性。...在服务网格领域，eBPF 可以用于 Sidecar 网络加速，并且可以从底层观测内核消息队列、任务队列、网络包信息、网络连接等更深层次的信息。...在 2021 年，Cilium（eBPF 开源框架）提出了用 eBPF 替代 Sidecar 实现内核级服务网格（数据面代理）的构想，以解决独立 Sidecar 带来的部署资源消耗、延时性能损耗等问题...不论如何，eBPF 技术融入服务网格生态已经是一个新趋势，即使无法真正实现 Sidecar 的完美替代，eBPF 同样可以作为 Sidecar 的有力补充，使两者在流量链路上水乳交融。...Sidecar—— 使用 EBPF 解锁内核级服务网格：https://mp.weixin.qq.com/s/W9NySdKnxuQ6S917QQn3PA 译文：服务网格将使用 eBPF ？

5512 0

eBPF 如何简化服务网格

除了传统的 sidecar 模型，Cilium 还支持每个节点使用一个 Envoy 代理实例运行服务网格的数据平面。使用我们前面的例子，这就把代理实例的数量从 100 个减少到只有 3 个。...在eBPF加速、无sidecar的服务网格模型中，网络数据包通过的路径要短得多在服务网格的情况下，代理在传统网络中作为 sidecar 运行，数据包到达应用程序的路径相当曲折：入站数据包必须穿越主机...基于 eBPF 的 Kubernetes CNI 实现，如 Cilium，可以使用 eBPF 程序，明智地钩住内核中的特定点，沿着更直接的路线重定向数据包。...如果你使用服务网格的唯一原因是提供加密，你可能想考虑网络级加密。它不仅更简单，而且还可以用来验证和加密节点上的任何流量 —— 它不只限于那些启用了 sidecar 的工作负载。...eBPF 是服务网格的数据平面现在，eBPF 在 Linux 生产发行版使用的内核版本中得到广泛支持，企业可以利用它来获得更有效的网络解决方案，并作为服务网格的更有效的数据平面。

1.1K2 0

Kmesh进入CNCF 云原生全景图

Kmesh：业界首个内核级Sidecarless流量治理引擎 ▍eBPF和Sidecarless是服务网格的未来近年来服务网格逐步流行，但sidecar架构在资源开销、升级部署、时延等方面仍存在挑战，...Kmesh从立项之初，就瞄准网格痛点问题，创新性的提出业内首个内核级sidecarless流量治理引擎，通过eBPF + 可编程内核技术将L4~L7治理下沉OS，治理过程无需经过代理组件，实现服务网格内服务通信路径多跳变一跳...Kmesh架构图 ▍Kmesh优势高性能内核中原生支持 L4~L7 流量治理功能，网格内微服务转发时延降低60%，微服务启动性能提升40%；低开销微服务中无需部署sidecar，服务网格数据面开销降低...70%；高可用内核流量治理不会截断连接，组件升级、重启完全不影响业务已有连接；零信任网络支持基于内核mTLS构建零信任网络；安全隔离基于eBPF的虚机安全，且具备cgroup级治理隔离；灵活治理模式...除了全内核治理形态，Kmesh还支持四七层治理分离架构，内核eBPF和waypoint组件分别处理L4和L7流量，允许用户逐步采用Kmesh，从而实现从无网格->安全L4治理->L7治理的平稳过渡；

2141 0

eBPF 与 Wasm：探索服务网格数据平面的未来

Cillium 的创建者 Isovalent 在一篇题为“eBPF 将如何解决服务网格的问题 -- 再见 Sidecar”的文章中阐述了使用 eBPF 代替 sidecar 代理的理由。...简而言之，eBPF 承诺会解决服务网格中的一个主要痛点，那就是当存在数量众多的微服务时，会导致较差的性能。但是，使用 eBPF 来取代 sidecar 是一个新的想法，并非没有争议。...（来源：eBPF 将如何解决服务网格的问题 -- 再见 Sidecar）在服务网格中，数据平面指的是基础设施服务，它会管理数据流量如何路由和投递给微服务应用。目前，这主要是通过使用服务代理实现的。...如今的服务网格部署有复杂的要求，远远超过了 eBPF 所支持的有限的编程模型，eBPF 是图灵不完备的，对内核的安全有许多限制。...eBPF 的很多问题都与它是一种内核技术有关，因此必须要有安全限制。有没有一种方法可以在不使用使用用户空间技术（这会导致性能下降）的情况下，将复杂的应用程序特定的代理逻辑纳入数据平面中？

3852 0

Linkerd企业版创始人: 坚持使用sidecar服务网格

是否采用 Sidecar 关于 eBPF 及其增强基于 Linux 内核运行的应用程序的数据监控能力的作用，也存在大量讨论。该技术直接在 Linux 内核内部运行，并扩展到不同环境。...Morgan 说，eBPF 可以帮助处理一个特定的网络领域，即在 L4 层处理 TCP 数据包。服务网格的大多数功能都是在 L7 层，而 eBPF 由于技术固有的局限无法处理。...“所以，eBPF 对服务网格的效用最多也就是个工具。...某个特定服务网格声称 eBPF 可提供无 Sidecar 网格纯属市场营销，因为 eBPF 可与 Sidecar 和每个主机代理一起使用，效用同样微乎其微”，Morgan说，“无 Sidecar 在此背景下意味着...是否可以接受小型和大型组织(如微软)或其他 Linkerd 用户(如 Adobe)在各种 Kubernetes 运行时环境中使用多种服务网格这一问题被提出。

1061 0

Service Mesh 的未来在于网络

图 2：TCP/IP 之所以能够获胜，是因为它已经实现了 eBPF 能够强化内核网络的能力 Cloudflare 并没有停留在仅仅使用 Linux TCP/IP 栈上。...将服务网格嵌入到网络中图 4：将服务网格转移到内核中服务网格是为了解决云原生领域的网络问题而创建的，但是正如前文所述，它也有自己的问题。...Merbridge 通过使用 eBPF 取代 iptables 来加速 Istio 的网络。“使用 eBPF 能够极大的简化内核对流量的处理，使服务间的通信更加高效”。...Merbridge 没有依赖 sidecar 的网络栈，而是使用 eBPF 将数据包从 sidecar 传递到 pod，以及从 sidecar 传递到 sidecar，而不需要经过它们的整个网络栈。...Istio 最近还推出了 Ambient Mesh，这是一个无 sidecar 的服务网格，目的是减少 sidecar 造成的运维复杂性、资源利用率低和流量中断。

2112 0

【服务网格】eBPF 和 Wasm：探索服务网格数据平面的未来

Cillium 的创建者 Isovalent 在题为“eBPF 如何解决服务网格 - 再见 Sidecars”的文章中解释了使用 eBPF 作为 sidecar 代理的替代方案的基本原理。...简而言之，eBPF 承诺解决服务网格中的一个主要痛点——当有许多细粒度的微服务时缺乏性能。然而，使用 eBPF 代替 sidecar 代理是一个新颖的想法，并非没有争议。...目前，这是通过使用服务代理来实现的。这种设计模式通常也被称为边车模式。Sidecar 允许其附加的微服务透明地向服务网格中的其他组件发出和接收请求。...当今的服务网格部署有复杂的需求，远远超出了 eBPF 支持的有限编程模型，这是图灵不完整的，并且对内核的安全性有许多限制。...eBPF 的许多问题都与它是一种内核技术有关，因此必须有安全限制。有没有一种方法可以将复杂的特定于应用程序的代理逻辑合并到数据平面中，而不会使用使用空间技术降低性能？

7282 1

从 Istio 在 CNCF 毕业，看服务网格的架构变迁

01 Sidecar 模式一般来说，典型的服务网格都在使用 Sidecar 作为数据平面，但 Sidecar 模式并不是服务网格所特有的。...这就是所谓的 Sidecarless，也叫 Sidecar-free。2022 年 Cilium 基于 ebpf 技术发布了具有服务网格能力的产品。...ebpf 并不是万能钥匙，也存在内核版本要求、编写难度大、安全等方面的问题。...依笔者愚见，基于 ebpf 的服务网格在设计思路上其实和 Proxyless 如出一辙，即找到一个非 Sidecar 的地方去实现流量控制能力。它们一个是基于通信协议类库，一个是基于内核的扩展性。...ebpf 通过内核层面提供的可扩展能力，在流量经过内核时实现了控制、安全和观察的能力，从而构建出一种新形态的服务网格。

3334 0

从服务网格看，如何做好通用的网络性能优化？

作者 | 汪翰林本文作者网易数帆云网络数据面负责人汪翰林，在工作中从事服务网格的网络数据面性能优化，发现其中的网络性能优化的原理具有相通性。...服务网格及网络性能优化分析业务微服务化之后，为了提升微服务的治理能力，通常会引入一个业务无侵入的 sidecar 代理来提供微服务的流控、熔断、升级等服务治理能力。...eBPF 类似于给内核打补丁，哪里性能不好就可以打上一个补丁，适合于小的性能优化点的修修补补。实际案例服务网格服务网格实际优化时结合了 eBPF Sockops 和用户态协议栈技术。...eBPF Sockops 适用于 Service 和 sidecar 之间链路的加速，因为 Service 端应用的多样性不太适合使用用户态协议栈加速，而服务器内部进程间通信也不太适合 RDMA 加速。...服务网格加速场景中 sidecar 和 Service 之间通信虽然通过 eBPF 进行了加速，但本质上还是走内核。所以用户态协议栈也需要支持根据路由配置来确定报文走内核态还是用户态协议栈。

5123 0

KubeCon 2021｜使用 eBPF 代替 iptables 优化服务网格数据面性能

刘旭，腾讯云高级工程师，专注容器云原生领域，有多年大规模 Kubernetes 集群管理及微服务治理经验，现负责腾讯云服务网格 TCM 数据面产品架构设计和研发工作。...引言目前以 Istio[1] 为代表的服务网格普遍使用 Sidecar 架构，并使用 iptables 将流量劫持到 Sidecar 代理，优点是对应用程序无侵入，但是 Sidecar 代理会增加请求时延和资源占用...性能一直是用户十分关心的一个点，也是用户评估是否使用服务网格产品的关键因素，腾讯云 TCM 团队一直致力于优化服务网格性能，上周我们在 KubeCon 分享了使用 eBPF 代替 iptables 优化服务网格数据面性能的方案...Sockmap 使用 sockmap 优化服务网格性能的方案最早由 cilium 提出，我们的方案也参考了 cilium，这里借用 cilium 的两张图来说明下优化效果优化前 Sidecar 代理与应用程序间的网络通信都需要经过...，使用 eBPF 可降低请求时延总结服务网格的 Sidecar 架构不可避免的会增加请求时延和资源占用，我们通过使用 eBPF 代替 iptables 实现流量劫持，同时使用 sockmap 加速

2.7K11 5

从Istio在CNCF毕业，看服务网格的架构变迁

01 Sidecar 模式一般来说，典型的服务网格都在使用Sidecar作为数据平面，但Sidecar模式并不是服务网格所特有的。...这就是所谓的Sidecarless，也叫Sidecar-free。2022年Cilium基于ebpf技术发布了具有服务网格能力的产品。...ebpf并不是万能钥匙，也存在内核版本要求、编写难度大、安全等方面的问题。...依笔者愚见，基于ebpf的服务网格在设计思路上其实和Proxyless如出一辙，即找到一个非Sidecar的地方去实现流量控制能力。它们一个是基于通信协议类库，一个是基于内核的扩展性。...ebpf通过内核层面提供的可扩展能力，在流量经过内核时实现了控制、安全和观察的能力，从而构建出一种新形态的服务网格。

2643 0

eBPF终极指南

eBPF与其他技术有何不同？使用行业术语来说，它在沙盒中运行，并提供各种功能，可扩展到用户进程，涵盖了从可观测性、安全性、网络、跟踪到充当 Sidecar 和服务网格替代品的各种用例。...此外，一些 Linux 内核不支持 eBPF，但工具提供商已经克服了这个限制。如何准备使用 eBPF？...这包括集成的ingress/egress、网关、带宽管理、服务网格和深度网络安全。在服务网格方面的公共可见性监视显示出了很多潜力，替代了sidecar组件。...在使用服务网格管理Kubernetes集群和Pod时，sidecar似乎会减缓数据流量。 eBPF在Kubernetes中的使用方式是怎样的？...ARMO最近提供的eBPF功能之一涉及漏洞相关性和优先级。相关性和优先级允许ARMO平台和Kubescape用户将属于未使用的软件包和组件的漏洞降低优先级。

3381 0

微服务时代的 TCPIP：Service Mesh 的演进之路

但这在当时，内核可编程技术（ebpf）还不成熟，直接在内核网络协议栈中加入这样的一个业务层不仅对内核有侵入性，而且由于内核更新速度太慢，无法满足快速变化的业务需求。...服务网格正从使用一系列独立运行的代理转向使用集中式的控制面板。...无论使用 VPP 或 Cilium（ebpf）都可以实现数据包在纯用户态或者纯内核态的处理，避免内存的来回拷贝、上下文切换，且可以绕过 Linux 协议栈，以提高报文转发效率，进而达到提升请求拦截效率的目的...当前 istio 下发 xDS 使用的是全量下发策略，也就是网格里的所有 Sidecar，内存里都会有整个网格内所有的服务发现数据。...and Wasm: Exploring the Future of the Service Mesh Data Plane eBPF 和 Wasm：探索服务网格数据平面的未来 How eBPF will

3692 1

说说eBPF的超能力

弹性、安全、可观察性、无sidercar部署它还让我们想到了无边服务网格的想法。服务网格具有弹性、可观察性和安全性。现在有了 eBPF，我们可以在不使用 sidecar 的情况下实现服务网格。...我在图表之前展示了我们如何使用 eBPF 绕过主机上的网络堆栈。对于服务网格，我们可以更进一步。...在传统的 sidecar 模型中，我们在希望成为服务网格一部分的每个 pod 中运行一个代理，也许是 Envoy。该代理的每个实例都有路由信息，每个数据包都必须通过该代理。...我们可以通过网络堆栈内 XDP 层或套接字层的 eBPF 连接绕过许多这些网络步骤。eBPF 将为我们提供资源消耗更少、效率更高的服务网格。...我们可以通过网络堆栈内 XDP 层或套接字层的 eBPF 连接绕过许多这些网络步骤。eBPF 将为我们提供资源消耗更少、效率更高的服务网格。

6384 1

微服务时代的 TCPIP：Service Mesh 的演进之路

但这在当时，内核可编程技术（ebpf）还不成熟，直接在内核网络协议栈中加入这样的一个业务层不仅对内核有侵入性，而且由于内核更新速度太慢，无法满足快速变化的业务需求。...服务网格正从使用一系列独立运行的代理转向使用集中式的控制面板。...无论使用 VPP 或 Cilium（ebpf）都可以实现数据包在纯用户态或者纯内核态的处理，避免内存的来回拷贝、上下文切换，且可以绕过 Linux 协议栈，以提高报文转发效率，进而达到提升请求拦截效率的目的...当前 istio 下发 xDS 使用的是全量下发策略，也就是网格里的所有 Sidecar，内存里都会有整个网格内所有的服务发现数据。...and Wasm: Exploring the Future of the Service Mesh Data Plane eBPF 和 Wasm：探索服务网格数据平面的未来 How eBPF will

4161 0

重新定义软件架构的三个新兴技术

eBPF：重新定义网络、安全和可观察性工具 eBPF 是一项起源于 Linux 内核的革命性技术，它可以在特权上下文（例如操作系统内核）中运行沙盒程序（来源：ebpf.io） eBPF（扩展伯克利包过滤器...）是在 Linux 内核级别提供可编程性的抽象层，无需重新构建内核或加载任何模块。...像服务网格这样的网络和基础设施解决方案已经开始应用基于 eBPF 的解决方案（例如Cilium）来避免 sidecar 的开销。 Istio 社区发布了一份白皮书，开始使用 eBPF 加速服务网格。...BumbleBee是开始进行 eBPF 开发的绝佳工具。虽然 eBPF 提供了速度和性能、沙盒安全性、统一跟踪、内核级别的可编程性等方面的巨大优势，但它更适合底层软件产品开发人员。...虽然 C、C++、Rust 和 Golang 是生产级 WebAssembly 的最佳支持，但其他语言也已经开始成熟。

4432 0

Cilium服务网格的下一代双向认证

该文为前期热门文章《eBPF将如何提供服务网格解决方案--告别sidecar》的后续。其介绍了Cilium提供非sidecar模式的服务网格的解决方案。...在该文中，将探究Cilium和Cilium Service Mesh是如何利用eBPF为服务提供一种新的基于身份(IBE)的双向认证方案，其高性能的数据平面可以支持任何网络协议，而无需改变应用程序或注入...右边显示的是非sidecar的方案，有效载荷连接保持不变，而TLS认证由Cilium单独执行，同时在eBPF的帮助下控制有效载荷连接。...如果一个网络策略同时指定了SPIFFE身份和端点选择器，那么恶意的工作负载就无法通过被破坏的服务级证书来冒充该服务。...总结由于Cilium服务网格的1.12版本已经是稳定版，这种双向认证方案是Cilium服务网格的下一个关注点。

6562 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭