Consul(服务网络解决方案)

　　Consul是一款服务管理平台，可以通过这款软件管理企业多种远程服务，可以在多个AKS集群上分布200多种微服务，每个AKS群集都接入一个集,该群集形成一个更大的服务发现网格,使维护人员可以在几分钟内找到并连接服务，您可以在软件配置自动化管理方案，服务项目可以自动调度，已经用自动化的工作流程完全替代了我们的手动服务发现的工作流程，为用户提供更方便的网络服务维护方案；Consul功能非常多，您可以通过本软件管理企业网络服务项目，可以在软件配置管理任务，可以建立分布式的服务管理方案，如果你需要这款软件就下载吧！

软件功能

　　Consul是一种服务网格解决方案，提供具有服务发现，配置和分段功能的全功能控制平面。这些功能中的每一个都可以根据需要单独使用，也可以一起使用以构建完整的服务网格。Consul需要一个数据平面，并支持代理和本机集成模型。Consul附带了一个简单的内置代理，因此一切都可以直接使用，还支持Envoy等第三方代理集成。

　　1、跨任何运行时的服务网格

　　在任何运行时或基础架构（裸机，虚拟机和Kubernetes集群）之间的任何云中部署服务网格。

　　2、安全的多云服务网络

　　利用基于意图的策略和服务网格资源之间的自动mTLS加密，在任何环境中运行的安全服务

　　3、动态负载平衡

　　通过集成的DNS解决发现的服务。自动化第三方负载均衡器（F5，NGINX，HAProxy）。消除了对网络设备的手动配置。

　　4、通过运行状况检查发现服务

　　Consul支持检测新服务的部署，对现有服务的更改，并提供实时代理运行状况以减少停机时间。

　　5、健壮的生态系统

　　Consul为许多流行的DevOps和网络工具提供支持并与之集成。

　　6、与Kubernetes集成和扩展

　　利用Helm在Kubernetes上快速部署Consul。自动为Kubernetes资源注入sidecar。将多个群集联合到一个服务网格中。

软件特色

　　1、连接

　　Consul Connect使用相互传输层安全性（TLS）提供服务到服务的连接授权和加密。应用程序可以在服务网格配置中使用 sidecar代理来为入站和出站连接建立TLS连接，而根本不知道Connect。应用程序还可以与Connect 进行本机集成，以实现最佳性能和安全性。Connect可以帮助您保护服务并提供有关“服务到服务”通信的数据。

　　2、应用程式安全性

　　Connect通过自动的服务到服务加密和基于身份的授权来实现安全的部署最佳实践。Connect使用已注册的服务标识（而不是IP地址）来强制执行访问控制的意图。这使得对访问控制的推理更加容易，并使服务能够由Kubernetes和Nomad等协调器重新安排。意图执行与网络无关，因此Connect可与物理网络，云网络，软件定义的网络，跨云等一起使用。

　　可观察性

　　3、Consul Connect的主要优点之一是，它可以为您网络上的所有服务提供统一而一致的视图，而不管它们的编程语言和框架如何不同。当您将Consul Connect配置为使用Sidecar代理时，这些代理“查看”所有服务到服务的流量并可以收集有关它的数据。Consul Connect可以配置Envoy代理以收集第7层指标并将其导出到Prometheus等工具。正确配置的应用程序还可以通过Envoy发送开放的跟踪数据。

使用说明

　　Consul数据中心之间的服务到服务流量

　　1.6.0+：此功能在Consul 1.6.0及更高版本中可用。

　　网格网关支持在不同Consul数据中心之间路由服务网格流量。这些数据中心可以驻留在不同的云或运行时环境中，在这些环境中，所有数据中心中所有服务之间的常规互连都不可行。一种有用的情况是在连接具有重叠IP地址空间的网络时。

　　这些网关通过从mTLS连接中嗅探SNI标头，然后根据请求的服务器名称将连接路由到适当的目标来进行操作。网关不会解密mTLS会话中的数据。

　　从Consul 1.8.0开始，网状网关还可以在Consul服务器之间转发八卦和RPC通信。这是通过网状网关通过WAN联合启用的。

　　从Consul服务网格外部到网格中服务的流量

　　1.8.0+：此功能在Consul 1.8.0及更高版本中可用。

　　入口网关是外部流量的入口点。它们启用了从Consul服务网格外部的服务到服务网格内部的服务的可能未经身份验证的入口流量。

　　这些网关使您可以定义应公开哪些服务，在哪个端口上以及通过哪个主机名。您可以通过定义一组可以映射到不同组支持服务的侦听器来配置入口网关。

　　入口网关与Consul的L7配置紧密集成，可通过诸如请求路径之类的属性来动态路由HTTP请求。

　　从Consul服务网格中的服务到外部服务的流量

　　1.8.0+：此功能在Consul 1.8.0及更高版本中可用。

　　终端网关支持从Consul服务网格中的服务到网格外部服务的连接。网格外部的服务没有Sidecar代理，或者没有本地集成。这些可能是在传统基础架构上运行的服务，也可能是在您无法控制的基础架构上运行的托管云服务。

　　终止网关有效地充当了可以代表一项或多项服务的出口代理。它们终止Connect mTLS连接，强制执行领事意图，并将请求转发到适当的目的地。

　　这些网关还简化了来自动态服务地址的授权。领事的意图决定了通过网关的连接是否得到授权。然后，诸如防火墙或IAM角色之类的传统工具可以授权从已知网关节点到目标服务的连接。

　　同步Kubernetes和Consul服务

　　ubernetes和Consul中的服务可以自动同步，以便Kubernetes服务可供Consul代理使用，Consul中的服务可以作为一流的Kubernetes服务使用。此功能由 consul-k8s项目提供，可以使用Consul Helm chart自动安装和配置 。

　　为什么要将Kubernetes服务同步到consul？

　　同步到Consul目录的Kubernetes服务使Kubernetes服务可以被Consul群集中的任何节点访问，包括其他不同的Kubernetes群集。对于非Kubernetes节点，它们可以使用标准Consul DNS或HTTP API访问服务 。

　　为什么将Consul服务同步到Kubernetes？将Consul服务与Kubernetes服务同步后，就可以以本地Kubernetes方式访问非Kubernetes服务（例如集群外部）：使用kube-dns，环境变量等。这使得自动化外部服务发现非常容易，包括托管服务，例如数据库。

　　安装与配置

　　服务同步是在consul-k8s项目中使用外部长期运行的过程完成的 。该过程可以在Kubernetes集群内运行，也可以在Kubernetes集群外运行。但是，在Kubernetes集群中运行此程序通常更容易，因为它是使用Helm chart自动执行的 。

　　Consul服务器群集可以在Kubernetes群集内运行，也可以在Kubernetes群集内运行。Consul服务器群集不需要与同步过程在同一台计算机或同一平台上运行。同步过程需要使用Consul代理的地址以及任何其他访问信息（例如ACL令牌）进行配置。

　　要安装同步过程，请使用Helm值启用目录同步功能， 并使用helm upgrade现有安装或 helm install全新安装来升级安装。

　　这将使服务能够双向同步。您也可以通过禁用方向来选择仅将Kubernetes服务同步到Consul或反之亦然。

　　要仅将Consul服务同步到Kubernetes，请使用config：

　　要仅将Kubernetes服务同步到Consul使用，请执行以下操作：

　　任务

　　任务是将动态服务信息从Consul目录转换为下游的网络基础架构更改。Consul-Terraform-Sync使用网络驱动程序自动执行任务。对于Terraform驱动程序，任务范围是Terraform模块。

　　以下是示例任务配置：

　　在上面的示例任务中providers，使用了字段中列出的“ fake-firewall”和“ null”提供程序。这些提供程序本身应在各自独立的terraform_provider块中进行配置。这些提供程序用于在source字段中配置的Terraform模块“ example / firewall-policy / module”中，以创建，更新和销毁资源。该模块可以执行类似使用提供程序基于IP地址创建和销毁防火墙策略对象的操作。IP地址来自在该services字段中配置的“ Web”和“图像”服务实例。服务级别信息由Consul-Terraform-Sync检索，Consul-Terraform-Sync监视Consul目录中的更改。

　　可以使用任务cli启用或禁用任务。启用后，将按照以下各节中的说明执行和自动执行任务。但是，从Consul目录中检测到更改后，禁用的任务将不会执行。由于禁用的任务不会执行，因此它们也不会存储事件，直到重新启用。

　　»任务执行

　　当从Consul目录中检测到为任务配置的服务的信息的任何更改时，将执行已启用的任务。执行可以包括对服务值（例如IP地址，添加或删除的服务实例或标签）的一项或多项更改。下面扩展了将导致任务运行的值的完整列表：

　　任务自动化

　　Consul-Terraform-Sync将在启动后尝试执行每个已启用的任务，以将基础结构与Consul的当前状态进行同步。如果在准备自动化环境或首次执行任务时发生任何错误，则守护程序将停止并退出。这有助于确保任务具有正确的配置，并且随着时间的推移发现服务更改，可以在守护程序完全自动化地转换为正在运行的任务之前执行任务。因此，不建议一开始就将任务配置为禁用。在所有任务成功执行一次后，将记录自动化过程中的任务失败，并在后续更改后重试或再次尝试。

　　当检测到服务更改时，任务几乎实时执行。对于易于波动的服务或环境，为任务配置一个缓冲时间段以在执行之前累积更改可能会很有用。缓冲时间段可以通过在短时间内分批处理任务更改来减少对基础结构的连续网络调用次数。

　　状态信息

　　通过状态API收集并提供与状态相关的信息，以提供有关任务运行方式和方式的可见性。信息分为三个级别（从最低到最高）：

　　活动数据

　　任务状态

　　整体状况

　　这三个级别构成了一个层次结构，其中每个数据级别都通知一个更高级别。每次运行任务以更新网络基础结构时，都会收集最低级别的事件数据。然后汇总此事件数据以通知各个任务状态。所有任务状态的计数分布通知总体状态的任务摘要。

　　事件

　　每当任务的服务有更新时，Consul-Terraform-Sync都会采取一系列步骤来更新网络基础结构。此过程从更新任务模板开始以从Consul获取新服务数据开始，并在修改网络基础结构后以任何后续操作结束。事件是一种数据结构，可捕获有关此更新网络基础结构过程的信息。它存储信息以帮助了解对网络基础结构的更新是否成功，并且存储发生的任何错误。由于禁用的任务不会更新网络基础结构，因此它们只有重新启用后才具有存储事件。

　　样本事件：

　　任务状态

　　每次运行任务以更新网络基础结构时，都会为该运行存储事件数据。每个任务存储5个最新事件，这些存储的事件用于确定任务状态。例如，如果最近存储的事件不成功，而其他事件成功，则任务的运行状况为“错误”。

　　样本任务状态：

　　可以使用任务状态API检索任务状态信息。API文档包含有关可用的健康状态以及如何基于事件的成功/失败信息来计算健康状态的详细信息。

　　总体状况

　　总体状态返回所有任务的健康状态摘要。摘要是每个健康状况类别中的任务计数。

　　样本总体状态：

　　可以使用总体状态API检索总体状态信息。API文档包含有关可用的健康状态以及如何根据任务状态的健康状态信息进行计算的详细信息。

更新日志

　　发行要点

　　应用感知意图：一组新功能，扩展了Consul的意图模型以支持第7层请求信息。现在，意图为操作员提供了在授权基于HTTP的服务（HTTP / 1.1，HTTP / 2，gRPC）时，构造服务来评估应用层信息（例如服务身份）以及应用程序信息的策略，以及服务身份。服务沟通。

　　服务网格可视化：此添加为Consul UI提供了一个新的拓扑选项卡，其中显示了拓扑图和关键服务网格度量，例如请求，错误率和计时度量。这些新功能将帮助开发人员和操作员验证服务网格内的配置和故障排除问题。该用户界面还支持深度链接到您的外部指标仪表板。

　　改进的度量标准和Grafana仪表板： Consul 1.9还更新了几个度量标准以减少度量标准名称中的基数，以支持使用标签的最佳实践，并提供了Grafana仪表板模板，该模板向操作员公开了与Consul数据中心关联的最重要的度量标准。

　　Kubernetes的自定义资源： Consul现在通过CRD提供Kubernetes优先体验，以使从业者可以通过Kubernetes样式的对象轻松配置Consul服务网格。

　　在OpenShift中部署Consul：在OpenShift中启用通过Helm图表安装Consul。现在，我们通过确保Consul以非root用户身份运行来确保Consul Kubernetes在OpenShift上安全运行，并且还提供了一组SecurityContextConstraints来安全地部署Consul。

　　现在，在OpenShift上安装Consul就像运行Helm安装（global.openshift.enabled设置为）一样简单true。

　　针对Kubernetes上的Consul的主动运行状况检查： Consul服务网格现在与Kubernetes Readiness探针集成在一起。这提供了通过Readiness探针从Kubernetes本地检测运行状况的能力，然后用于引导服务网格流量。

　　流式传输：此功能在体系结构内引入了主要的体系结构增强，以用于阻止查询的更新通知如何在群集中传递。在大规模部署中，流传输可大大减少Consul服务器上的CPU和网络带宽使用量。流在扩展服务状态快速变化的Consul群集中的阻塞查询方面特别有用。

　　现在，流可用于服务运行状况HTTP端点，并且可以通过use_streaming_backend客户端配置选项和rpc.enable_streaming服务器上的选项启用流。在后续版本中，我们将继续在更多端点中启用流式传输。

　　发生了什么变化

　　Consul 1.9是使用Go 1.15构建的，该版本已不再支持Darwin / macOS的32位二进制文件，因此我们将不再发行Consul 1.9.x或更高版本的darwin_386构建。

　　不再支持Envoy版本1.12.0、1.12.1、1.12.2和1.13.0

　　将默认网关端口从443切换到8443，以避免假设Envoy以root身份运行。