Istio Data Plane vs Control Plane ambient mode avec waypoint proxies

Concepts clés :

• Data Plane vs Control Plane

• ambient, ztunnel, istio-cni, istiod, waypoint proxies

Istio : Concepts Clés

Istio est une Service Mesh (maillage de services) qui facilite la gestion, la sécurité, l’observabilité et le contrôle du trafic entre microservices dans un cluster Kubernetes (ou multicluster).

Architecture générale

Istio est divisé en deux grands plans :

1. Data Plane

• Gère le trafic réel entre les services.

• Composé de istio-cni et ztunnel et waypoint proxies

• Ces proxies interceptent et contrôlent tout le trafic entrant et sortant.

• Fonctions principales :

  • Routage intelligent (load balancing, retry, timeout, canary, etc.)

  • Sécurité du trafic (mTLS, authentification, autorisation)

  • Observabilité (metrics, logs, traces)

2. Control Plane

• Gère la configuration et le comportement du Data Plane.

• Principal composant : istiod

• Fonctions principales :

  • Distribution de la configuration aux proxies

  • Gestion des certificats et identité des services (CA)

  • Pilotage de la politique de sécurité, du routage, etc.

Sidecar Mode vs Ambient Mode

Mode Sidecar

• Chaque pod contient 2 conteneurs :

  • L’application

  • Le proxy (sidecar)

• Inconvénients :

  • Consommation de ressources importante (un Envoy par pod)

  • Complexité de gestion (injection sidecar, update…)

Mode Ambient (sans sidecar)

• Introduit par Istio ≥ 1.18

• Objectif : simplifier le déploiement du Service Mesh.

• Pas de proxy dans les pods, on utilise deux couches :

  • ztunnel (Zero Trust tunnel) : proxy L4 déployé par nœud (gère mTLS, transport)

  • Waypoint proxy : proxy L7 par namespace ou service (gère politique, routage)

• Avantages :

  • Moins de ressources consommées

  • Déploiement et maintenance simplifiés

istiod (Control Plane central)

• Fonctions :

  • Configuration dynamique des proxies

  • Gestion des certificats et identités

  • Validation et distribution de la configuration