GKE 周邊網路提供簡化的無 sidecar 部署模型，適用於具備第 4 層功能的服務網格。周邊網路會將 Proxy 功能移至整合至 GKE Dataplane V2 (DPv2) 的節點層級元件，藉此減少資源負擔、避免因 Proxy 更新而重新啟動工作負載，並簡化網格生命週期管理。
功能
GKE 周邊網路預先發布版支援單一叢集第 4 層網格功能：
- 相互傳輸層安全性 (mTLS)：強制執行加密傳輸和身分驗證。
- 服務探索：自動探索服務，並在工作負載之間轉送連線。
- 第 4 層流量管理：平衡 TCP 流量負載並轉送流量。
- 第 4 層遙測：將網路流量、連線和錯誤指標傳送至 Cloud Observability。如要瞭解如何以圖表呈現及分析這些指標，請參閱「網路服務監控總覽」。
周邊網路的優點
與採用 Sidecar 的服務網格架構相比，周邊網路有幾項重要的作業和資源優勢：
簡化生命週期管理：消除 Sidecar Proxy 和應用程式容器之間的命運共同體模式。您可以在節點層級套用 Proxy 更新、安全性修補程式和升級，不必重新啟動工作負載 Pod，也不會造成應用程式停機。
減少資源消耗：將 Proxy 整合至共用的節點層級執行個體，相較於 Sidecar 模型，CPU 和記憶體負擔最多可減少 90%。
消除 Sidecar 風險：解決常見的 Sidecar 問題，例如容器 Proxy 略過安全漏洞、黏性連線中斷，以及不可靠的連線終止傳播。
原生 Cloud de Confiance by S3NS 平台整合：與 GKE Dataplane V2 (DPv2)、代管 Workload Identity、憑證授權單位服務 (CAS) 和 Google Cloud Observability 原生整合。
互通性和範圍
在周邊網路預先發布版期間，請注意下列範圍和互通性限制：
- Gateway API 需求：周邊網路需要 Gateway API。不支援 Istio API。
- 工作負載互通性：註冊周邊網路的工作負載，無法與加入邊車容器的工作負載 (在 GKE、Compute Engine 或 Cloud Run) 或無 Proxy gRPC 工作負載互通。
架構與元件
周邊網路會直接整合至每個節點上的 GKE Dataplane V2 (DPv2)，而非將 Envoy sidecar 插入工作負載 Pod。
現有的控制層元件
周邊網路仰賴控制層元件來發布政策、轉譯設定及核發憑證：
- Traffic Director：提供 xDS 控制層，用於政策發布和轉送設定。
- GKE Gateway Controller：將 Kubernetes 自訂資源轉譯為 Traffic Director 設定。
- 憑證授權單位服務 (CAS)：使用代管 Workload Identity 為工作負載核發 X.509 身分憑證。
- GKE 叢集控制層：核准憑證簽署要求 (CSR)，並將其轉送至 CAS。
節點元件
周邊網路會安裝下列各節點元件，直接在每個叢集節點上攔截及代理工作負載流量：
GKE ambient NRI 外掛程式： 節點資源介面 (NRI) 外掛程式，可設定低階網路，攔截 Pod 流量並重新導向至 Proxy。
GKE ambient Proxy：節點層級 Proxy，可管理監聽通訊端、接收 Traffic Director 的 xDS 規則、隨選從 GKE 控制層擷取 X.509 身分憑證，以及 Proxy 第 4 層流量。
節點層級的 Ambient 資料層元件會以 DaemonSet 的形式在 gke-managed-ambient 命名空間中執行，並會與 GKE 控制層一起自動建立版本、修補及升級。
目標規模和限制
在預先發布版中，周邊網路有下列範圍和互通性限制：
| 資源指標 | GKE DPv2 (含 Ambient) | 標準 GKE DPv2 (不含 Ambient) |
|---|---|---|
| 每個叢集的節點數量 | 500 | 7,500 |
| 每個叢集的 Service 數量 | 300 | 10,000 |
| 每個叢集的 Pod 數量 | 5,000 | 200,000 |
| 每個節點的 Pod 數量上限 | 256 | 256 |
如要瞭解一般 GKE 叢集配額，請參閱叢集限制和 GKE Dataplane V2 規格。
定價
請參閱下列詳細資料，瞭解周邊網路的定價和作業資源費用：
- 任何命名空間中，只要 Pod 具有 ambient 標籤
networking.gke.io/dataplane-mode=ambient，就會以每小時 $0.004 美元 (每分鐘 $0.00006667 美元，或每月約 $2.90 美元) 的費率計費。預先發布版不會產生費用。 - Cloud Observability (Cloud Monitoring/Cloud Logging) 和憑證授權單位服務會收取標準用量費用。
瞭解 Gateway API 資源
使用周邊網路時，您在叢集上管理的 Kubernetes Gateway API 自訂資源，會自動轉譯為一組代管的Cloud de Confiance by S3NS API 資源。
| 功能 | 代管 Cloud de Confiance by S3NS API 資源 | 範圍 | 基數 |
|---|---|---|---|
| 網格 | Mesh |
區域 | 每個叢集 1 個 |
| 服務轉送 | TCPRoute |
區域 | 每個叢集 1 個，加上GCPClientTLSPolicy指定的每個 Service 1 個 |
| 服務代表 | BackendService |
區域 | 每個叢集 1 個 |
| 用戶端驗證 | ClientTlsPolicy |
區域 | 每個叢集 1 個 |
| 伺服器驗證 | ServerTlsPolicy |
區域 | 每個叢集 3 個 |
| 伺服器驗證 | EndpointPolicy |
區域 | 每個GCPServerTLSPolicy 1 個，加上portOverrides中每個不重複 mTLS 模式 1 個 |
| 授權 | AuthzPolicy |
區域 | 每個GCPAuthzPolicy中，每個 Pod targetRef有 1 個enforcementLevel: L4 |
| 輸出轉送 | EgressRouting |
區域 | 每個具有 GCPEgressPolicy 的命名空間各 1 個 |