Service Mesh 개요 — Istio, Linkerd로 서비스 간 통신을 관리하는 이유

기존 방식:
  Service A ───────────────→ Service B

Service Mesh 방식:
  Service A → [Proxy A] ────→ [Proxy B] → Service B

                       Pod
    ┌──────────────────────────────────┐
    │                                  │
    │  ┌─────────┐    ┌────────────┐  │
    │  │   App   │←──→│  Sidecar   │←──── 외부 트래픽
    │  │Container│    │  Proxy     │───→  외부 트래픽
    │  └─────────┘    └────────────┘  │
    │                                  │
    └──────────────────────────────────┘

# Istio PeerAuthentication
apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: default
  namespace: production
spec:
  mtls:
    mode: STRICT  # 모든 통신에 mTLS 강제

# Istio VirtualService — 트래픽 분할 (카나리 배포)
apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: my-service
spec:
  hosts:
    - my-service
  http:
    - route:
        - destination:
            host: my-service
            subset: v1
          weight: 90
        - destination:
            host: my-service
            subset: v2
          weight: 10  # 10% 트래픽을 v2로
    - timeout: 5s       # 타임아웃
      retries:
        attempts: 3     # 재시도 횟수
        perTryTimeout: 2s
---
# DestinationRule — 서브셋 정의
apiVersion: networking.istio.io/v1
kind: DestinationRule
metadata:
  name: my-service
spec:
  host: my-service
  subsets:
    - name: v1
      labels:
        version: v1
    - name: v2
      labels:
        version: v2
  trafficPolicy:
    connectionPool:
      http:
        maxRequestsPerConnection: 100
    outlierDetection:          # Circuit Breaker
      consecutive5xxErrors: 5
      interval: 30s
      baseEjectionTime: 30s

# Istio AuthorizationPolicy
apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: frontend-to-backend
spec:
  selector:
    matchLabels:
      app: backend
  action: ALLOW
  rules:
    - from:
        - source:
            principals: ["cluster.local/ns/default/sa/frontend"]
      to:
        - operation:
            methods: ["GET", "POST"]
            paths: ["/api/*"]

# Istio 설치
istioctl install --set profile=default

# 네임스페이스에 사이드카 자동 주입 활성화
kubectl label namespace production istio-injection=enabled

# 이후 이 네임스페이스에 배포되는 Pod에 Envoy 사이드카가 자동 주입됨

# Linkerd 설치
linkerd install | kubectl apply -f -

# 기존 Deployment에 사이드카 주입
kubectl get deployment my-app -o yaml | linkerd inject - | kubectl apply -f -

기존: Pod마다 사이드카
  [App + Envoy] [App + Envoy] [App + Envoy]

Ambient: 노드별 공유 프록시
  [App] [App] [App] ──→ [ztunnel (노드당 1개)]