Прямой ответ
Service Mesh — инфраструктурный слой для управления коммуникацией между микросервисами (сервис → сервис — не внешний трафик — API Gateway — «gateway для внешнего, mesh для внутреннего» — микросервисы); проблема, которую решает: каждый микросервис реализует кросс-каттинг сам (retry/timeout/circuit breaker/mTLS/observability — retry — «20 сервисов — 20 реализаций retry» — техдолг), сложность растёт с числом сервисов (N сервисов — N×N связей — микросерисы — «управлять N×N связями» — mesh централизует — микросерисы); архитектура mesh: (1) sidecar-прокси (Envoy — Envoy — в каждом поде — перехватывает трафик — k8s — «sidecar перехватывает» — приложение не знает о mesh — микросервисы); (2) control plane (Istiod — Istio — конфигурирует sidecar-ы — «Istio управляет трафиком» — Istio); функции mesh: (1) mTLS (автоматическое шифрование сервис-сервис — Istio — «сервисы шифруют трафик без кода» — OWASP); (2) traffic management (routing/retry/timeout/circuit breaker — retry — Istio — «retry/timeout без кода» — retry); (3) canary/blue-green (постепенное развёртывание — deploy — Istio — «5% трафика на новую версию» — deploy); (4) observability (метрики/трейсинг/логи из sidecar — observability — «mesh даёт observability» — Grafana); (5) security policies (авторизация сервис-сервис — Istio — «сервис A может вызвать B» — OWASP); Istio vs Linkerd: Istio (Istio — полнофункциональный, Envoy-база — Envoy — «Istio — мощный, но сложный»), Linkerd (Linkerd — проще, легче, Rust-прокси — «Linkerd — проще для старта» — микросервисы); когда mesh НЕ нужен: монолит/2–3 сервиса (mesh оверхед — микросерисы), простой трафик (без mTLS/canary/observability — микросерисы — «mesh для 3 сервисов» — оверхед), команда без опыта (техдолг — mesh — сложность — mikroservisy); антипаттерны: mesh без нужды (оверхед без выгоды — техдолг — «mesh для монолита» — безумие), mesh без observability (метрики — «mesh есть, метрик нет» — Grafana), mesh как замена кода (retry в mesh + retry в коде — двойной retry — retry — «retry в mesh и в коде» — конфликт — техдолг).
Практика: Istio — sidecar, mTLS, canary
Установка Istio (Istio — istioctl install --set profile=default — k8s — sidecar-injection (namespace label — k8s — «namespace помечен — sidecar инжектится»); mTLS (Istio — PeerAuthentication (STRICT mTLS — Istio — «сервисы шифруют трафик автоматически» — OWASP); traffic management (Istio — VirtualService (routing/retry/timeout — retry — «retry 3 раза, timeout 5 с» — retry), DestinationRule (circuit breaker/load balancing — retry — Istio); canary-развёртывание (Istio — VirtualService (5% трафика на v2 — deploy — «5% на новую версию» — deploy — метрики (метрики — «ошибки на v2» — откат — deploy); observability (Istio — метрики из sidecar (метрики — Grafana), трейсинг (observability — Istio — «mesh даёт трейсинг» — Grafana); Linkerd (альтернатива — Linkerd — проще, легче — «Linkerd для старта» — микросервисы — Istio — «Istio мощный, Linkerd простой» — ADR).
Практический сценарий: 20 микросервисов — mesh для observability и mTLS
Контекст: платформа на 20 микросервисах (микросервисы), боль: каждый сервис реализует mTLS/retry/observability сам (20 реализаций — техдолг), observability фрагментирована (метрики/трейсинг в каждом сервисе — observability — «20 реализаций трейсинга» — техдолг), нет canary (развёртывание — сразу на 100% — deploy — «релиз упал — всё упало» — incident); решение — Istio: (1) sidecar-injection (Istio — namespace label — k8s — «sidecar инжектится автоматически»); (2) mTLS (Istio — STRICT — Istio — «сервисы шифруют трафик без кода» — OWASP — 20 реализаций → 1 — техдолг); (3) retry/timeout (Istio — VirtualService — retry — «retry/timeout без кода» — retry — 20 реализаций → 1); (4) observability (Istio — метрики/трейсинг из sidecar — метрики — Grafana — observability — «mesh даёт observability» — Grafana); (5) canary (Istio — VirtualService (5% на v2 — deploy — «5% трафика» — метрики (метрики — «ошибки на v2» — откат — deploy); (6) security policies (Istio — AuthorizationPolicy (сервис A → B — Istio — «авторизация сервис-сервис» — OWASP); результат: mTLS/retry/observability в одном месте (Istio — Istio — техдолг — «20 реализаций → 1»), canary-развёртывания (deploy — «5% трафика» — deploy), observability из коробки (метрики — Grafana — observability); цена: сложность (Istio эксплуатировать — техдолг — зависимости), sidecar-оверхед (Envoy в каждом поде — память/CPU — ёмкость — «sidecar съедает ресурсы»), обучение (Istio-концепции — техдолг); вывод: mesh решили проблему (кросс-каттинг централизован — микросервисы — ADR — «mesh для 3 сервисов» — оверхед — техдолг).
FAQ
Service Mesh против API Gateway — что когда использовать? API Gateway — внешний трафик (клиент → сервисы — API Gateway — микросервисы), Service Mesh — внутренний (сервис → сервис — Istio — «gateway для внешнего, mesh для внутреннего»); когда gateway: внешний вход нужен (API Gateway — микросервисы), когда mesh: внутренний трафик (сервис → сервис — Istio — mTLS/retry/observability — Istio); оба: внешний — gateway, внутренний — mesh (Istio — API Gateway — «gateway + mesh» — микросервисы); «gateway заменяет mesh» — нет (gateway — внешний, mesh — внутренний — Istio — разные уровни — ADR — техдолг).
Istio или Linkerd — что выбрать для старта? Istio (Istio — полнофункциональный, Envoy-база — Envoy — «Istio мощный, но сложный» — техдолг), Linkerd (Linkerd — проще, легче, Rust-прокси — «Linkerd для старта» — микросервисы); выбор: Istio — если нужны все фичи (traffic management/security/observability — Istio), Linkerd — если нужен базовый mesh (mTLS/observability — Linkerd — проще — микросервисы); «Istio для старта» — сложно (Istio — много концепций — техдолг — «Linkerd для старта, Istio когда вырастет» — ADR — техдолг — микросервисы).
Какой оверхед даёт sidecar-прокси и как его минимизировать? Оверхед: память/CPU (Envoy в каждом поде — ~50–100 МБ памяти — ёмкость — «sidecar съедает ресурсы»), латентность (доп. хоп через sidecar — ~1–5 мс — ёмкость — «sidecar добавляет задержку»); минимизация: resource limits (ограничить sidecar-ресурсы — k8s — «sidecar не съедает всё»), selective injection (sidecar только где нужен — k8s — «не во все поды» — микросервисы), Linkerd (легче Istio — Linkerd — «Linkerd легче» — микросервисы); «sidecar без оверхеда» — миф (sidecar всегда добавляет ресурсы/латентность — ёмкость — но выгоды (mTLS/observability) часто оправдывают — Istio — ADR — техдолг).
Когда service mesh действительно нужен, а когда — преждевременен? Нужен: много сервисов (10+ — микросервисы — кросс-каттинг дублируется — техдолг), mTLS обязателен (compliance/security — OWASP — «сервисы шифруют трафик» — Istio), canary/observability нужны (deploy — observability — «mesh даёт» — Istio); преждевременен: монолит/2–3 сервиса (mesh оверхед — микросерисы — «mesh для 3 сервисов» — оверхед), простой трафик (без mTLS/canary — микросерисы), команда без опыта (техдолг — mesh — сложность — mikroservisy); вывод: mesh — для зрелых микросервисных систем (10+ сервисов, mTLS/observability нужны — Istio — ADR — «mesh первым» — преждевременно — техдолг — микросервисы).
Источники: Istio docs, Envoy docs, Linkerd docs — ссылки в шапке.