Service Mesh 面试题及答案（100道）

一、基础概念（15题）

1. 什么是 Service Mesh？

答案： Service Mesh 是处理服务间通信的专用基础设施层，提供流量管理、安全、可观测性等功能，使服务能够安全、可靠地通信。

2. Service Mesh 的核心价值是什么？

答案：

· 解耦业务逻辑与网络通信逻辑
· 提供统一的服务治理能力
· 增强可观测性
· 提升安全性
· 支持多语言异构系统

3. Service Mesh 与 API 网关的区别？

答案：

维度 Service Mesh API 网关
通信模式 东西向流量（服务间） 南北向流量（外部到服务）
部署位置 每个服务旁（Sidecar） 集群入口
关注点 服务间通信、弹性、安全 API管理、认证、限流
适用场景 微服务内部通信 对外API暴露

4. Sidecar 模式的工作原理？

答案： Sidecar 以独立容器形式部署在同一个 Pod 中，与业务容器共享网络命名空间，拦截并处理所有进出流量。

5. 数据平面 vs 控制平面

答案：

· 数据平面：处理实际流量（如 Envoy），负责转发、路由、负载均衡
· 控制平面：管理和配置数据平面（如 Istiod），下发策略和配置

6. Service Mesh 解决了哪些传统微服务痛点？

答案：

· 多语言服务治理统一
· 复杂网络逻辑的抽象
· 分布式系统可观测性
· 零信任安全架构实施

7. 什么是 mTLS？为什么 Service Mesh 中需要它？

答案： mTLS（双向 TLS）是客户端和服务器端相互验证的 TLS 协议。Service Mesh 中使用 mTLS 实现服务间的身份验证和加密通信。

8. Service Mesh 支持哪些协议？

答案： HTTP/1.1、HTTP/2、gRPC、TCP、WebSocket 等，不同 Mesh 实现支持程度不同。

9. Service Mesh 的典型架构组件？

答案： Sidecar 代理、控制平面、管理界面、可观测性组件（监控、日志、追踪）。

10. 如何实现渐进式采用 Service Mesh？

答案：

1. 从非关键服务开始
2. 使用 Mesh 的部分功能（如可观测性）
3. 逐步迁移流量控制
4. 最终实现全 Mesh 化

11. Service Mesh 与 Serverless 的关系？

答案： Service Mesh 可为 Serverless 函数提供通信层，但 FaaS 的短暂性和无状态特性可能不适合传统 Mesh 架构。

12. 什么是 L4/L7 代理？Service Mesh 属于哪种？

答案：

· L4 代理：工作在传输层（TCP/UDP）
· L7 代理：工作在应用层（HTTP、gRPC）
· Service Mesh 代理通常支持 L4-L7

13. Service Mesh 对性能的影响有哪些？

答案：

· 延迟增加（额外网络跳转）
· CPU/内存消耗（Sidecar 进程）
· 连接管理开销

14. 如何评估是否需要一个 Service Mesh？

答案：

· 微服务数量 > 50
· 多语言技术栈
· 需要统一的服务治理
· 安全合规要求高

15. Service Mesh 的演进趋势？

答案：

· eBPF 加速
· 多集群/多云统一管理
· 与 AIOps 集成
· 无 Sidecar 架构

二、Istio 核心（20题）

16. Istio 的架构组件有哪些？

答案：

· 数据平面：Envoy 代理
· 控制平面：Istiod（Pilot、Citadel、Galley 合并）
· 可选组件：Ingress/Egress Gateway、Addons

17. Istio 的流量管理能力有哪些？

答案：

· 动态路由（VirtualService）
· 负载均衡（DestinationRule）
· 故障注入
· 熔断、超时、重试
· 流量镜像

18. 解释 VirtualService 和 DestinationRule

答案：

```yaml
# VirtualService：定义路由规则
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
spec:
  hosts: ["reviews"]
  http:
  - route:
    - destination:
        host: reviews
        subset: v1

# DestinationRule：定义子集和负载均衡策略
apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
spec:
  host: reviews
  subsets:
  - name: v1
    labels:
      version: v1
  trafficPolicy:
    loadBalancer:
      simple: ROUND_ROBIN
```

19. Istio 如何实现服务发现？

答案： 通过 Pilot 组件对接 Kubernetes API Server，获取 Service 和 Endpoint 信息，下发给 Envoy。

20. Istio 支持哪些负载均衡算法？

答案： ROUND_ROBIN、LEAST_CONN、RANDOM、PASSTHROUGH。

21. 如何实现金丝雀发布？

答案：

```yaml
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
spec:
  hosts:
  - myapp
  http:
  - route:
    - destination:
        host: myapp
        subset: v1
      weight: 90
    - destination:
        host: myapp
        subset: v2
      weight: 10
```

22. Istio 如何实现故障注入？

答案：

```yaml
http:
- fault:
    delay:
      percentage:
        value: 10
      fixedDelay: 5s
    abort:
      percentage:
        value: 5
      httpStatus: 500
```

23. 什么是 Istio Ingress Gateway？

答案： 专门处理入口流量的 Envoy 代理，替代传统的 Ingress Controller。

24. Istio 的安全特性有哪些？

答案：

· 自动 mTLS
· 基于 RBAC 的授权
· JWT 验证
· 认证策略

25. 如何配置 Istio 的 mTLS？

答案：

```yaml
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
spec:
  mtls:
    mode: STRICT
```

26. Istio 的可观测性组件？

答案：

· 指标：Prometheus
· 日志：Fluentd/OpenTelemetry
· 追踪：Jaeger/Zipkin
· 监控面板：Grafana/Kiali

27. 什么是 Kiali？

答案： Istio 的服务网格可视化工具，显示服务拓扑、流量、健康状态等。

28. 如何配置 Istio 的访问日志？

答案：

```yaml
apiVersion: telemetry.istio.io/v1alpha1
kind: Telemetry
metadata:
  name: mesh-logging
spec:
  accessLogging:
  - providers:
    - name: envoy
```

29. Istio 的流量镜像如何配置？

答案：

```yaml
http:
- route:
  - destination:
      host: myapp
      subset: v1
    weight: 100
  mirror:
    host: myapp
    subset: v2
  mirrorPercentage:
    value: 100
```

30. 什么是 Istio 的 Wasm 扩展？

答案： WebAssembly 插件，允许自定义 Envoy 过滤器逻辑，无需修改 Envoy 本身。

31. 如何控制 Istio 的资源消耗？

答案：

1. 调整 Sidecar 资源限制
2. 优化 Sidecar 配置
3. 使用 Sidecar 资源限制
4. 选择性注入

32. Istio 如何与 Kubernetes 集成？

答案： 通过 Kubernetes API 获取服务和端点信息，使用 Custom Resource Definitions（CRD）扩展配置。

33. 什么是 IstioOperator？

答案： Istio 1.5+ 引入的安装和配置 API，替代了 Helm。

34. 如何升级 Istio？

答案：

1. canary 升级（新旧控制平面并存）
2. 原地升级
3. 使用 istioctl 工具

35. Istio 支持哪些遥测后端？

答案： Prometheus、Datadog、Stackdriver、SignalFX 等。

三、Envoy 代理（15题）

36. Envoy 的主要特性？

答案：

· 高性能 C++ 实现
· 支持热重启
· 动态配置 API（xDS）
· 丰富的可观测性

37. 什么是 xDS 协议？

答案： 一组发现服务协议：

· CDS：集群发现
· EDS：端点发现
· LDS：监听器发现
· RDS：路由发现
· SDS：密钥发现

38. Envoy 的过滤器架构？

答案： 过滤器链模式，分为网络过滤器（L3/L4）和 HTTP 过滤器（L7）。

39. 如何扩展 Envoy 功能？

答案：

1. 编写自定义过滤器（C++）
2. 使用 Lua 脚本
3. 使用 Wasm 扩展

40. Envoy 的负载均衡算法？

答案： Round robin、Weighted least request、Random、Ring hash、Maglev。

41. Envoy 如何实现熔断？

答案： 通过集群级别的断路器和异常点检测。

42. 什么是 Envoy 的 Bootstrap 配置？

答案： 静态初始配置，包含 xDS 服务器地址、静态资源等。

43. Envoy 的健康检查类型？

答案：

· 主动健康检查
· 被动健康检查（异常点检测）
· 混合模式

44. Envoy 的访问日志格式？

答案： 支持多种格式：JSON、纯文本、gRPC，使用预定义字段和自定义字段。

45. 如何调试 Envoy 配置？

答案：

```bash
# 查看配置
istioctl proxy-config all <pod-name>

# 查看日志
kubectl logs <pod-name> -c istio-proxy

# 使用 admin 接口
curl localhost:15000/config_dump
```

46. Envoy 的内存管理机制？

答案： 使用内存池、连接池，支持配置内存限制和监控。

47. Envoy 如何处理 HTTP/2 和 gRPC？

答案： 原生支持 HTTP/2 和 gRPC，包括头部压缩、多路复用等。

48. Envoy 的速率限制实现？

答案： 通过速率限制服务和全局共享计数实现分布式限流。

49. 什么是 Envoy 的监听器？

答案： 绑定到端口的网络配置，包含过滤器链。

50. Envoy 的集群类型？

答案： STATIC、STRICT_DNS、LOGICAL_DNS、EDS、ORIGINAL_DST。

四、流量治理（15题）

51. 蓝绿部署 vs 金丝雀发布

答案：

· 蓝绿部署：全量切换，新版本完全替代旧版本
· 金丝雀发布：渐进式流量切换，从少量到全量

52. 如何实现基于权重的流量拆分？

答案： 使用 VirtualService 的 weight 字段。

53. 什么是流量镜像（影子流量）？

答案： 将生产流量复制到测试环境，不影响实际用户。

54. 如何配置熔断器？

答案：

```yaml
trafficPolicy:
  connectionPool:
    tcp:
      maxConnections: 100
    http:
      http1MaxPendingRequests: 1024
  outlierDetection:
    consecutive5xxErrors: 5
    interval: 30s
    baseEjectionTime: 30s
    maxEjectionPercent: 100
```

55. 如何设置超时和重试？

答案：

```yaml
http:
- route:
  - destination:
      host: myapp
  timeout: 3s
  retries:
    attempts: 3
    perTryTimeout: 2s
    retryOn: connect-failure,refused-stream,503
```

56. 什么是延迟注入？使用场景？

答案： 人为添加延迟，用于测试系统弹性、验证超时机制。

57. 如何基于请求头路由？

答案：

```yaml
http:
- match:
  - headers:
      x-version:
        exact: v2
  route:
  - destination:
      host: myapp
      subset: v2
```

58. 如何实现服务版本隔离？

答案： 使用 DestinationRule 定义子集，VirtualService 按版本路由。

59. 流量管理中的优先级设置？

答案： 使用 VirtualService 中 route 的顺序（从上到下匹配）。

60. 如何防止雪崩效应？

答案：

1. 设置熔断器
2. 实现舱壁隔离
3. 配置合理的超时和重试
4. 使用降级策略

61. 什么是流量治理的最终一致性？

答案： 配置变更需要时间传播到所有 Envoy 实例，期间可能存在不一致。

62. 如何实现区域感知路由？

答案： 使用 LocalityLoadBalancerSetting，优先路由到同一区域的服务。

63. 流量治理的性能考虑？

答案： 规则数量、匹配复杂度、配置更新频率都影响性能。

64. 如何处理灰度发布中的异常？

答案：

1. 实时监控指标
2. 设置自动回滚机制
3. 使用渐进式流量增加

65. 如何验证流量规则是否正确应用？

答案：

1. 使用 Kiali 可视化
2. 检查 Envoy 配置
3. 发送测试请求验证

五、安全（15题）

66. Istio 的安全架构层次？

答案：

1. 传输安全（mTLS）
2. 身份认证
3. 授权策略
4. 审计日志

67. 如何配置 JWT 验证？

答案：

```yaml
apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: jwt-auth
spec:
  jwtRules:
  - issuer: "testing@secure.istio.io"
    jwksUri: "https://raw.githubusercontent.com/istio/istio/release-1.11/security/tools/jwt/samples/jwks.json"
```

68. RBAC 授权策略示例？

答案：

```yaml
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: httpbin-policy
spec:
  action: ALLOW
  rules:
  - from:
    - source:
        principals: ["cluster.local/ns/default/sa/sleep"]
    to:
    - operation:
        methods: ["GET"]
        paths: ["/info"]
```

69. 什么是 SPIFFE/SPIRE？

答案： 身份标识标准（SPIFFE）及其实现（SPIRE），用于跨系统的服务身份管理。

70. 如何实现零信任网络？

答案：

1. 默认拒绝所有流量
2. 基于身份的认证
3. 最小权限原则
4. 持续验证和监控

71. 证书管理和轮换流程？

答案： Istio 自动管理证书，支持定期自动轮换。

72. 如何配置细粒度访问控制？

答案： 结合 RequestAuthentication 和 AuthorizationPolicy，基于 JWT 声明、路径、方法等授权。

73. Service Mesh 中的安全边界？

答案： 服务边界、命名空间边界、集群边界。

74. 如何保护控制平面安全？

答案：

1. 启用 mTLS
2. 限制 API 访问
3. 定期更新
4. 监控审计

75. 如何处理服务间敏感数据传输？

答案：

1. 启用 mTLS 加密
2. 使用 Secret 管理敏感配置
3. 实施数据脱敏

76. 如何实现跨命名空间的访问控制？

答案： 在 AuthorizationPolicy 中指定 source.namespace。

77. 什么是安全态势评估？

答案： 定期检查安全配置、漏洞、合规性等。

78. 如何处理外部服务的认证？

答案： 使用 ServiceEntry 定义外部服务，配合相应的认证策略。

79. 如何监控安全事件？

答案： 通过审计日志、安全指标、告警系统。

80. 灾难恢复中的安全考虑？

答案： 备份证书、密钥、策略配置，确保恢复后安全状态一致。

六、可观测性（10题）

81. Service Mesh 的可观测性三大支柱？

答案： 指标（Metrics）、日志（Logs）、追踪（Traces）。

82. Istio 的标准指标有哪些？

答案：

· 请求数（request_count）
· 请求时长（request_duration）
· 请求大小（request_bytes）
· 响应大小（response_bytes）
· TCP 指标（sent/received bytes）

83. 如何自定义指标？

答案： 使用 Telemetry API 定义维度、标签和指标。

84. 分布式追踪的工作原理？

答案： 通过传播追踪上下文（trace ID, span ID），收集端到端请求路径信息。

85. 如何降低追踪的性能开销？

答案：

1. 采样策略（如 1% 采样率）
2. 异步上报
3. 批量处理

86. 如何集成外部监控系统？

答案： 通过适配器或 OpenTelemetry Collector。

87. 什么是服务依赖图？

答案： 可视化服务间调用关系和流量指标。

88. 如何实现业务指标监控？

答案： 在应用代码中埋点，通过 Sidecar 代理上报。

89. 日志聚合的最佳实践？

答案：

1. 结构化日志（JSON）
2. 统一日志格式
3. 集中存储和分析
4. 日志采样

90. 告警策略设计原则？

答案：

1. 基于 SLO 设置告警
2. 避免告警风暴
3. 分级告警（P0-P3）
4. 自动化恢复

七、性能与优化（10题）

91. Service Mesh 的性能瓶颈通常在哪里？

答案：

1. Sidecar 代理 CPU/内存
2. 网络延迟（额外跳转）
3. 配置同步延迟
4. 证书加解密

92. 如何优化 Sidecar 资源使用？

答案：

```yaml
# Sidecar 配置资源限制
resources:
  requests:
    memory: "128Mi"
    cpu: "100m"
  limits:
    memory: "256Mi"
    cpu: "200m"

# 优化并发连接
concurrency: 2
```

93. 什么是 Sidecar 自动缩放？

答案： 基于流量负载自动调整 Sidecar 资源。

94. 如何减少延迟？

答案：

1. 优化 Envoy 配置
2. 使用 eBPF 加速
3. 减少过滤器链复杂度
4. 合理设置连接池

95. eBPF 在 Service Mesh 中的应用？

答案： 内核层流量处理，绕过 Sidecar 提升性能。

96. 配置管理的最佳实践？

答案：

1. 避免过细的规则
2. 定期清理无用配置
3. 使用配置模板
4. 版本控制配置

97. 如何测试 Service Mesh 性能？

答案：

1. 基准测试（固定负载）
2. 压力测试（极限负载）
3. 混沌测试（故障场景）
4. 长期稳定性测试

98. 多集群场景的性能考虑？

答案： 跨集群网络延迟、配置同步、安全隧道开销。

99. 如何监控 Sidecar 性能？

答案：

1. Envoy 自带指标
2. 系统资源监控
3. 应用性能监控
4. 网络性能监控

100. 性能优化的权衡原则？

答案： 在性能、功能、复杂度、成本之间取得平衡。

面试准备建议

技术深度展示

1. 架构设计：理解数据平面和控制平面的交互
2. 实践能力：展示实际部署和故障排查经验
3. 性能调优：了解优化手段和工具
4. 安全合规：掌握零信任和安全最佳实践

常见场景准备

1. 迁移方案：从传统架构迁移到 Service Mesh
2. 故障处理：Sidecar 故障、配置错误、性能问题
3. 大规模部署：千级服务、多集群管理
4. 混合云：跨云服务网格

趋势洞察

1. 新技术：eBPF、WebAssembly、Proxyless Mesh
2. 生态集成：与 GitOps、DevSecOps、AIOps 结合
3. 标准化：SMI（Service Mesh Interface）标准
4. 商业化：Istio 的商业发行版

实用工具掌握

1. 调试工具：istioctl、kubectl、envoy admin
2. 监控工具：Prometheus、Grafana、Kiali
3. 测试工具：Fortio、k6、Chaos Mesh
4. 管理平台：Istio、Linkerd、Consul 管理界面

这份面试题涵盖了 Service Mesh 的核心概念和实践要点，建议结合实际项目经验进行准备。在面试中，不仅要展示知识广度，更要通过具体案例展示解决问题的深度和实践能力。