80%看代码 20% 看流量 20% 看代码 80%看流量 应用连接方式的变化 应用监控的变化 传统的方法： 开发人员埋点， 标准SDK/JavaAgent， 流量分光镜像。 云原生下的难题： 微服务迭代快， 侵入式监控效率低； 云网络虚拟化， 东西向流量监控难。 挑战/必要性：网络的动态性和复杂性，不监控流量谈何应用可观测 机遇/有效性：云网络连接API/函数，监控流量可零侵入实现应用可观测 è è 云原生应用可观测“原力”，流量监控能力是机遇、基石 simplify the growing complexity © 2021, YUNSHAN Networks Technology Co., Ltd. All rights reserved. 混合云全栈可观测架构 〔分布式〕 流量分析 解析 聚合 关联 压缩 零侵入的流量采集与分析 发送 零侵入的云原生应用可观测性 Flow 数据节点 © 2021, YUNSHAN Networks Technology Co., Ltd. All rights reserved. 混合云全栈可观测架构 〔分布式〕 流量分析 解析 聚合 关联 压缩 零侵入的流量采集与分析 发送 零侵入的云原生应用可观测性 Flow 数据节点 云原生，水平扩展 监控数据 性能指标 调用日志 网络链路 由业务代码驱动的可观测性数据、云API数据 调用关系

间的网络缺乏安全管理机制，无法对同一宿主机内各容器之间的网络访问权限进 行限制。因此，无法避免容器间互相攻击的安全风险。容器网络所面临的攻击主 要包括容器网络内部攻击和容器网络外部攻击。 容器网络内部，由于网络流量不通过物理网卡而在宿主机内部的容器通信， 存在容器虚拟网络间的 DoS 攻击风险。容器网络外部，由于宿主机上的所有容 器共享物理网卡资源，若外部攻击者向某一个目标容器发送大量数据包进行 DDoS 云原生安全威胁分析与能力建设白皮书 32 击者可通过流量拦截等手段获取 API 原始返回的数据，从而存在数据泄漏的隐 患。 安全配置缺陷导致的攻击：安全配置缺陷是最常见的安全问题，这通常是由 于不安全的默认配置、不完整的临时配置、开源云存储等问题所造成的攻击。 2.5.2API 网关攻击 微服务网关作为微服务后端服务的统一入口，它可以统筹管理后端微服务， API 网关提供路由、负载均衡、流量控制、服务发布等核心功能，API ，API 网关在微 服务架构中起到流量枢纽的作用。常用的 API 网关类型包括 Spring Cloud Gateway[16]、Kong[17]、Zuul[18]等。 不安全的微服务网关将给攻击者提供可乘之机，如2022年3月1日，Spring 官 方 发 布 了 关 于 Spring Cloud Gateway 的 两 个 CVE 漏 洞 ， 分 别 为 CVE-2022-22946[19]

制品变化：代码因商业而变带来新 的功能缺陷 3 配置变化：因环境而变带来的不稳 定性因素 6 外部依赖变化：ERP可用性变化 带来的不稳定因素 5 人员变化：没有知识沉淀导致的 不稳定因素 4 环境变化：因安全、流量、故障、环境崩 溃、底层IT变更而变带来的不稳定因素 非云原生：无法对应变 化=稳定性无法保证 云原生：主动对应变化= 稳定性保证 什么是云原生(Cloud Native Computing)->为云而生 用户已在生产环 境中应用 云原生对业务的支撑实例(数据来源于阿里云) 4982亿，2020年天猫双11再创消费新纪录。58.3万笔/秒，双11交易峰值再创新高，阿里云又一次扛住全球最大规模流量洪峰。这一切背后支撑的 “技术引擎”又是如何为近十亿全球购物者的狂欢提供着“无感知护航”？ 近日，在阿里巴巴双11技术沟通会上，阿里云研究员、阿里云云原生应用平台负责人丁宇表示，今年双11实现了核心系统全面云原生化的重大技术 压测支撑效率和稳定性。 • 云原生技术不仅在阿里内部大规模普及，也正通过阿里云服务全社会的双11。大促期间，阿里云原生还支撑了中国邮政、申通 快递、完美日记、世纪联华等客户，稳定高效应对双11大促的流量。以物流行业为例，申通快递将核心系统搬到云上，采用阿 里云容器服务，亿级包裹过境，系统稳如泰山，IT成本还降低了30%；以大型商超为例，世纪联华基于阿里云函数计算(FC)弹性 扩容，业务峰值 QPS超过2019

开发态Dev 安全态Sec 发布态 高可用 测试态Test • 服务契约管理 • 服务调试 • 服务Mock • 端云互联 • 开发环境隔离 • 服务压测 • 自动化回归 • 流量录制 • 流量回放 • 无损上下线 • 服务预热 • 金丝雀发布 • A/B Test • 全链路灰度 • 服务鉴权 • 漏洞防护 • 配置鉴权 • 离群实例摘除 • 限流降级 • 同AZ优先路由 4、安全域不同 5、跨region 云原生网关 云原生网关 Fuction（Serverless） App1（单体应用） 证书管理 认证登录 三方认证 WAF防护 限流熔断 风险预警 统一接入 流量调度 用户故事 • 来电 微服务治理全链路灰度最佳实践 • 斯凯奇 云原生网关最佳实践 来电 微服务治理全链路灰度最佳实践 app 充电宝设备节点 web 网关 服务注册发现 配置中心 超时、重试 流量调度 动态数据源 故障自动切库 DB大促预建联 密码定期修改 流量控 制 线程控 制 微服务生态 前端生态 Spring Sentinel 高可用生态 Dubbo Midway Switch 数据库生态 TDDL 服务鉴权 Pre-plan MSE（Nacos） 服务网格最佳实践 阿里服务网格（简称 ASM）是一个统一管理微服务应用流量、兼容Istio的托管式平台

大优化整体效率和成本 可以无视环境随时可以进行，覆盖漏洞类型全面， 可以精确定位到代码段 路径爆炸问题，并一定与实际相符合，误报率较 高。 DAST(动态安全应用 程序安全测试) 黑盒测试，通过模拟业务流量发起请求，进行模糊测试，比如故障注入 或者混沌测试 语言无关性，很高的精确度。 难以覆盖复杂的交互场景，测试过程对业务造成 较大的干扰，会产生大量的报错和脏数据，所以 建议在业务低峰时进行。 IAST(交互式应用程序 ess化主要是从两个维度落地按需的概念。一方面根据业务规模 自动化扩缩容实例规格、队列数等逻辑资源；另一方面，根据服务端负载自动化扩缩容计算、存储等物理资源。 2W TPS 10W TPS 根据业务流量自动升降配 .... 逻辑资源按需扩缩容 MQ集群 MQ集群 根据Load等Metrics做 出扩容决策 PV1 Broker1 PV2 Broker2 PV3 Broker3 PV4 Broker4 Service的代码依然使用 MQ的SDK与其他服务进 行通信 • 由于Envoy把MQ当做服 务一样接管流量，所以 也可以对它进行监控、 做服务发现、负载均衡 以及流量治理（比如灰 度部署） 云原生消息Mesh化 将消息的富客户端 能力下沉到SideCar， 将消息的服务发现、 负载均衡、流量监 控等职责与业务逻 辑隔离，在运行时 完成透明装配，同 时提供细粒度的消 息灰度和治理能力 高级能力

mv statics-pod.yaml Chaos Mesh在网易伏羲的实践 提前暴露30+风险问题 Chaos Mesh在网易伏羲的实践 For FuXi , 结合流量回放在测试环境真实模拟用户流量；或真实线上集群上混沌； For Chaos Mesh , 通用组件的开箱即用；比如 Redis、Kafka等等 欢迎对混沌测试，对私有云稳定性感兴趣的同学一起关注云原生社区 stability

destination-v2.yaml 部署VirtualService： 1 kubectl apply -f virtualservice-v1-v2.yaml 当前v1和v2的流量量分别为50%. 然后，通过以下命令v2接管所有流量量： 1 kubectl apply -f virtualservice-v2.yaml 完成灰度发布，切换到v2。 请求路路由 接下来会把特定⽤用户(登录名称以yunqi开头的)的请求发送给

Pinterest 构建一个渐进式发布能力需要解决哪些 问题？ • 版本化 • 分批发布 • 滚动发布/原地发布 • 发布暂停 • 发布回滚 • 日志监控 • 健康检查 • 多版本部署 • 多版本流量灰度 • 多集群/多环境灰度 • … KubeVela 具备全部发布能力 的标准化应用管理引擎 KubeVela 简介 第二部分 What is KubeVela？ KubeCon NA 发布 再实际操作资源，只生成版本快照 控制器 循环 Application Deployment K8s Resource v1 K8s Resource v2 K8s Resource v3 指定不同版本的流量配比 多集群部署 ENV 2 ENV 3 ENV 1 更大Scope： 多环境/多集群/多版本 --渐进式发布 AppRevision v1 AppRevision v2 AppRevision

_cfs_periods_total[1m]) * 100 Pod网络出入向流量 irate(container_network_transmit_bytes_total[1m]) * 8 irate(container_network_receive_bytes_total[1m]) * 8 Pod硬盘IO读写流量 irate(container_fs_reads_bytes_total[1m])

为false 营商必须选择允许这些检查。如果启用，建议还启用ACL以控制允许哪些用户注册新检查以执行脚本 这是在Consul 0.9.0中添加的。 ● encrypt：指定用于加密Consul网络流量的密钥。该密钥必须是16字节的Base64编码。创建加密 钥的最简单方法是使用 consul keygen。群集中的所有节点必须共享相同的加密密钥才能进行通信。 供的密钥将自动持久保存到数据目录，并 线性化的方式发生。事务修改集群状态，该状态在所有服 器节点上维护，以确保节点故障时的可用性。服务器节点还与其他数据中心中的服务器节点一起参与 AN八卦池。服务器充当其他数据中心的网关，并根据需要转发流量。 ● -server-port：要侦听的服务器RPC端口。这将覆盖默认服务器RPC端口8300.这在Consul 1.2.2及 高版本中可用。 ● -non-voting-server：（仅限