微服务中的服务网格Sidecar代理与外部服务集成时TLS终止/启动（TLS Termination/Origination）机制

知识点描述

在微服务架构中，服务网格通过Sidecar代理实现服务间的安全通信，通常采用mTLS加密。但当微服务需要与网格外部的服务通信时，需要特殊机制处理TLS连接。TLS终止指Sidecar代理解密传入的TLS流量，以明文形式转发给内部服务；TLS启动指Sidecar代理将明文请求加密为TLS流量后发送给外部服务。这一机制确保外部通信的安全性，同时简化内部服务的证书管理。

外部服务集成TLS处理的挑战

1. 安全边界模糊：外部服务可能未启用TLS或使用不同证书体系。
2. 证书管理复杂：内部服务若直接处理外部TLS，需维护多套证书，增加运维负担。
3. 策略统一性：安全策略需在网格内外保持一致。

机制详解

步骤1：定义外部服务目标规则

Sidecar代理需识别外部服务的访问策略。例如在Istio中，通过ServiceEntry声明外部服务：

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: external-api
spec:
  hosts:
  - api.external.com
  ports:
  - number: 443
    name: https
    protocol: HTTPS
  resolution: DNS

此配置告知网格存在外部服务api.external.com，但未指定TLS处理方式。

步骤2：配置TLS终止（入口流量）

当外部服务主动访问网格内服务时，Sidecar代理需终止TLS：

• 场景：外部客户端通过HTTPS请求网格内服务。
• 流程：
  1. 外部请求到达Sidecar代理的443端口。
  2. Sidecar代理验证客户端证书（若需双向TLS），并解密请求。
  3. 将解密后的明文请求转发给内部服务（如HTTP/80端口）。
• 配置示例（Istio Gateway）：

  apiVersion: networking.istio.io/v1beta1
  kind: Gateway
  metadata:
    name: external-gateway
  spec:
    servers:
    - port:
        number: 443
        name: https
        protocol: HTTPS
      tls:
        mode: MUTUAL  # 要求客户端证书
        credentialName: external-certs  # 代理持有的服务器证书
      hosts:
      - "service.internal.com"
  

  此配置使Sidecar代理在443端口接收TLS请求，终止TLS后转发明文给内部服务。

步骤3：配置TLS启动（出口流量）

当网格内服务访问外部服务时，Sidecar代理需启动TLS：

• 场景：内部服务以HTTP协议请求外部HTTPS服务。
• 流程：
  1. 内部服务发送明文请求（如HTTP/80）到Sidecar代理。
  2. Sidecar代理拦截请求，与外部服务建立TLS连接（验证服务器证书）。
  3. 将明文加密为HTTPS请求发送至外部服务。
• 配置示例（Istio DestinationRule）：

  apiVersion: networking.istio.io/v1beta1
  kind: DestinationRule
  metadata:
    name: external-tls-origination
  spec:
    host: api.external.com
    trafficPolicy:
      tls:
        mode: SIMPLE  # 代理主动发起TLS连接
        credentialName: client-certs  # 代理用于认证的客户端证书（可选）
  

  此策略要求Sidecar代理将发往api.external.com的HTTP请求自动升级为HTTPS。

步骤4：证书管理集成

• 动态证书加载：Sidecar代理从网格的证书颁发机构动态获取证书，减少手动轮换。
• 信任链配置：外部服务证书需被网格根证书信任，或在Sidecar中预置外部CA证书。

完整流程示例

场景：内部服务frontend需访问外部API https://api.external.com。

1. 服务发起请求：frontend发送HTTP请求至http://api.external.com。
2. Sidecar拦截：frontend的Sidecar代理根据ServiceEntry识别此为外部服务。
3. TLS启动：代理检查DestinationRule，将HTTP请求转换为HTTPS，并附加证书。
4. 安全传输：加密请求发送至外部API，响应经代理解密后返回frontend。

优势与注意事项

• 优势：
  • 内部服务无需处理TLS逻辑，降低代码复杂度。
  • 统一安全策略，如强制加密或证书验证。
• 注意事项：
  • 性能开销：TLS加解密消耗CPU资源，需监控代理负载。
  • 证书泄露风险：集中管理证书需严格访问控制。

通过此机制，服务网格将TLS处理抽象到基础设施层，使开发人员专注于业务逻辑，同时保障内外部通信的安全性。