话说天下大势，分久必合，合久必分。

《刀塔自走棋》自今年年初开始突然爆火，一路飙升至30万的日活量，号称“拯救了Dota2”、“干翻了PUBG”的自走棋，确实一度在国内辉煌了一把，以及创造了一波“刀塔玩家不要来卡我们服务器”的传说。

巨鸟多多终究只是个小作坊。即便《刀塔自走棋》在游戏界的风口浪尖上来回走了一遭，巨鸟多多工作室本身却仍旧无法将《刀塔自走棋》推向一个更高的高度。

自混沌时期《09自走棋》、《赤潮自走棋》乃至逆水寒的《豪侠战棋》将这潭水搅浑以后，巨鸟多多作为工作室势单力薄的坏处就显现而出。很多玩家希望巨鸟多多与Valve谈拢，归属于Valve这个正牌大厂手下；而巨鸟多多却选择与龙渊合作，推出手游版《多多自走棋》；就在这时，Moba界另一霸主Riot又开始有了新的动作，《英雄战棋》宣布暑期开测……

天 下 三 分

Riot的做法不禁让人啼笑皆非——当初你就是靠“抄”war3的自定义地图Dota起家，如今你又想“抄”Dota2游廊自定义地图自走棋，这羊毛也不能专盯着一只羊薅啊？

当Riot宣布《英雄战棋》即将在暑期开放测试的时候，Dota2玩家立马就不淡定了。众所周知，自古以来Dota2玩家和英雄联盟玩家的“关系”就不太好，可原本预想中的唇枪舌战并没有展开，因为就连英雄联盟的玩家也坐不住了：你腾讯还真就是那个腾讯啊！

英雄联盟自走棋《云顶之弈》

这个时段，火爆的《赤潮自走棋》乃不知哪里冒出来的，好不好玩另说，终归不是“正统”名号。袁术拿了玉玺称帝，终因“不是正统”而众叛亲离，可见“正统”的重要性——当初《英雄联盟》官方宣传的口径，可还是“刀塔原班人马打造”呢。

《赤潮自走棋》

DOTA原班人马打造？

而另一边，巨鸟多多与龙渊合作的“正统”《多多自走棋》质量却差强人意：勉强能玩，但是和《刀塔自走棋》差了那么一点味道。尽管《多多自走棋》顶着“多多”的名号，游戏内容却和《刀塔自走棋》差得远了，更新频率也完全不是同一个量级。很显然，《多多自走棋》实际上并非巨鸟多多工作室在更新，而是龙渊的人在负责。更不用说龙渊带着《多多自走棋》突然转投Epic，也就是腾讯旗下。

《多多自走棋》

这也不行、那也不行……众多自走棋当中，只有原版《刀塔自走棋》仍旧站着。然而所有人都明白，当《英雄战棋》——现在改名叫《云顶之弈》——正式推出的时候，以腾讯那种体量的宣传力度，恐怕到时候就没《刀塔自走棋》什么事了……

就在这个时候，被大家一直调侃为“度假社”的Valve突然丢出了一记绝杀：《Dota Underlords》，国内翻译为，《刀塔霸业》。

《刀塔霸业》

刀 塔 霸 业

DOTA原班人马打造！

本以为是Valve病急乱投医、得知LOL自走棋快要释出时的仓皇制作，没想到游戏的完成度意外之高，游戏内容相比原版自走棋也有一定程度上的改变。在游戏开放测试的首日（6月14日）玩家峰值达到了29912人，首个周末的峰值也达到24939人。

Valve对于《刀塔霸业》的简介是这样的：“Dota Underlords是一款全新的独立游戏，您可以与七名对手斗智斗勇，组建升级您的队伍从而称霸白色尖塔。”

目前，已经拥有Dota2勇士令状（又称TI9小本子）的玩家可以参与内测。参与方法是在Dota2游戏主界面将Dota Underlords领取至steam游戏库并下载试玩。（国服玩家需要将steam中的-perfectworld指令去掉之后进入国际服才可以领取，具体操作为：在steam库中右键Dota2；选择“属性”；选择“设定启动选项”；去掉-perfectworld；登陆Dota2。）

因为是压力测试版本，游戏的主选单界面显得异常简陋，透露著一股穷酸气息。

主选单界面

游戏还提供了所有英雄、联盟（羁绊）和野怪掉落物品的资讯，保留了Dota2的游戏设定，也保留了不少快捷键设定（目前游戏中的快捷键有BUG，部分快捷键无法正确使用）。

英雄介绍

选择“开始游戏”，则会弹出模式选择：你可以选择与其他7名玩家进行匹配比赛，也可以与机器人进行训练比赛。而机器人甚至有4个难度，不同名字的机器人也有属于它自己的“独特阵容”和AI设定，真是酷到没朋友。

选择模式

进入游戏界面之后，就是万众瞩目的“实机界面”。显然Valve将《刀塔霸业》定位为一款手游，它的界面显然是专门为手机使用者制作的：没有信使、没有小地图、也没有什么花里胡哨，可以通过点选屏幕左侧的头像切换至其他玩家的面板，这一点和《多多自走棋》倒是很相似。

和《刀塔自走棋》不同，刀塔霸业在击败野怪之后不再是随机掉落装备，而是在战胜野怪之后从3件随机装备中选择1件加入装备库；若是被野怪击败也不会失去生命值，而是在装备结算时随机失去两件装备。

装备改为三选一

同时，刀塔霸业的装备系统也与自走棋有了很大的改变——装备不再能合成，而是根据野怪的波数决定掉落装备的“梯队”（等级）。波数越靠后的野怪掉落的装备越好，甚至后期能够掉落“人口上限+1”这样不可思议的装备。

扩大阵容！

不仅装备系统有所改变（至于这样的改变是好是坏，还要留给玩家们亲自判断），很多英雄的技能也产生了变化。比如“大娜迦”美杜莎的普通攻击自带箭（对目标身边的3个额外目标发起攻击），沙王的普通攻击和掘地穿刺附带腐蚀毒，“小鱼人”斯拉克的技能变成了属性窃取，已经被删除和重做的蓝胖和巫妖又重回战场……

自带腐蚀毒的掘地穿刺

许多羁绊也有所改变：猎人羁绊从固定加攻变成了概率连射，骑士羁绊从概率开盾变成了“在其他骑士身边获得伤害减免”，德鲁伊羁绊从合成数量-1变成了场上德鲁伊等级提升……

德鲁伊羁绊修改

虽然没有自走棋后续加入的暗影牧师、玛尔斯、宙斯、冰龙等英雄，但《刀塔霸业》也有属于自己的独创单位：能奶能打的术士、身材种族爆炸的屠夫、玩法独特的电狗（天穹守望者）……

亡灵、战士巨强身材的屠夫

目前看来，《刀塔霸业》是从自走棋3月份留下来的版本资料进行修改而成（比如骑士羁绊的数量需求仍旧是2/4/6），和《多多自走棋》是一样的。不过，在装备、羁绊、技能皆有所不同的情况下，《刀塔霸业》显然和《刀塔自走棋》、《多多自走棋》走向了另一条不同的路。

你不是度假社！你是谁！

BUG多在任何游戏中都不是什么好现象。Valve火急火燎将测试版游戏丢掷来，也显现出了很大的问题。这时候，玩家之间不禁开始摇头，叹一声“又能怎么办呢，只能等在夏威夷度假的员工回来了”。

G胖：不行，今天谁不加班，就直接丢到夏威夷的海里沉了吧。

令人震惊的是，《刀塔霸业》以1天1更新的速度飞速修复游戏中的漏洞和不完善的地方。15日修改了UI界面，增加了系统匹配，结束画面也有回到主选单按钮了；16日修复了经验值看不见的BUG，好友状态提示也移至左边；17日，削弱了游戏中无法无天的猎人流派，削弱了让法师自闭的黑皇杖，以及林林总总的资料修改……

Valve如此勤快，一时间却让玩家们有些无法接受。要知道，15、16日可是周末啊。

华语第一论坛

据推测，可能《英雄战棋》（云顶之弈）的公布真的让Valve感到紧张了吧——毕竟《Artifact》那么大的失利摆在前头，Valve无论如何也想挽回一波。

另一方面，根据某不愿意透露姓名的员工说，“因为自走棋真的很好玩，我们也都很想玩。”

说起Artifact，早在《刀塔自走棋》爆款的时候，就有“真正的刀牌、虚假的刀牌”的对比图诞生，这次Valve亲自下场做了一款《刀塔霸业》，玩家们不禁发问：那我Artifact还能否有名字？

真正的刀牌、虚假的刀牌

实际上，Artifact早在3月份的时候就宣布停止更新，制作组正在准备重做整个Artifact，请等待后续讯息（然后就杳无音信）。而细心的朋友可能已经注意到，《刀塔霸业》使用的音乐素材与Artifact非常相似。

“我们打算回炉重做”

Artifact：emmmmm……

关于《刀塔霸业》和Artifact还有一则趣闻。很多玩家嫌弃《刀塔霸业》这个译名过于老土（传奇：请问有什么问题？），于是知名Dota2博主HOHO哥发了一条微博，希望刀友们集思广益，提供自己认为比较好的译名。而点赞最高的那一条，却希望《刀塔霸业》改名叫《Artifact》……

《刀塔霸业》究竟能否在这次自走棋混战中脱颖而出，成就真正的“霸业”，还需要经过时间的检验。Valve称在本周五就能够体验到手机端的《刀塔霸业》（与PC端资料互通），同时也会对外开放测试，不如就拭目以待。

（图片来源于网络）

60年代作为唯一一个万金油职业，我们可怜的德鲁伊地位和套装一样效能低下。既不能当坦克（后期安其拉时代修改了槌击的仇恨，在外服德鲁伊的坦克地位有所提升），又不能当法师输出，绝大多数的德鲁伊只能走治疗和卖萌路线。真是苦不堪言啊，一方面德鲁伊的天赋和技能确实有很大问题，另外一方面主要还是套装真不给力。

德鲁伊PVP几乎都是野性天赋，平衡这个天赋最惨没有装备支援，总不能穿一身布甲PK。即便是野性德鲁伊，面对牧师和术士，特别是后者几乎没有还手能力。废话不多说了，直接上主题。

一、野性之心(2) 套装：+200点护甲值。(4) 套装：+26 攻击强度。 套装：提高所有法术和魔法效果所造成的伤害和治疗效果，最多15点。(6) 套装：在战斗中被击中之后有一定概率回复300点法力值或10点怒气值，或40点能量值。(8) 套装：+8 所有魔法抗性。

从T0就知道德鲁伊套装的问题所在了：什么属性都加，但是什么属性都不突出。特别逗的比如手套居然是21精神和9点智力，这手套属性估计连牧师都不想要吧。你如果想治疗，这个套装没有治疗加成。想当野德，力量和耐力加成都很低。所以小伙伴千万千万不要刷T0，真的很没意思。

PVE:D-,如果想进军MC推荐刷一套治疗布甲得了，这个套装没什么用。

PVP:D,相对于治疗，这个套装护甲还算是比较高，凑合着PVP死的不是太难看。

二、狂野之心(3) 套装：+8 所有魔法抗性。(4) 套装：在战斗中被击中之后有一定概率回复300点法力值或10点怒气值，或40点能量值。(6) 套装：提高所有法术和魔法效果所造成的伤害和治疗效果，最多15点。 套装：+26 攻击强度。(8) 套装：+200 护甲。

职业的T0.5总有一点让人眼睛一亮的感觉，德鲁伊的T0.5我居然感觉就是套垃圾。都是每个属性均衡的加了一点，唯一贴心的就是每件装备都加上了法伤。做这套装备你需要收集好T0外加几百个金币，我认为是不值得做的。但是如果你一定要玩平衡当鹌鹑的话，前期也只有这套装备可以选择。

PVE：C+，在治疗方面有不错的表现，但是依然比不上穿布甲的治疗散件。

PVP：C，全面强过了T0，但是T0.5最大的问题依然还是太均衡了，耐力力量敏捷加成过少。推荐前期还是雷暴套等盗贼的散件比较好。

三、少校的圣装/勇士的圣装(2) 套装：+40 攻击强度。(4) 套装：使你在熊形态、猎豹形态或旅行形态下的移动速度提高15%，只能在户外使用。(6) 套装：+15 耐力。

非常亮眼的PVP装备，如果德鲁伊想PVP的话，军装可以说是必不可少的。一方面是装备属性的重心从均衡转移到了偏野性天赋，野德的耐力和伤害有了一定的保证。另外一方面就是四件套移动速度比较逆天，面对物理职业增加了不少优势。当然套装也加了一点智力，PVP消耗战也不会让蓝很快见底。

PVE：D，虽然有了一点治疗加成，但是回复能力真不够看。

PVP：B+，军装属性我是以后期暴雪加强的版本写的，当然个人感觉还是四件套+盗贼的散件比较好一些。

四、塞纳里奥套装(3) 套装：荆棘所造成的伤害提高4点，持续时间延长50%。(5) 套装：使你的法术造成致命一击的概率提高2%。(8) 套装：使你的宁静和飓风的冷却时间减少50%。

T1就已经注定了德鲁伊只有治疗的命运，整个套装没有丝毫的力量和法伤加成，完完全全的治疗装备。而且3件套这个荆棘术的加成是在搞笑吗？德鲁伊也只好默默的被强叉了，你没T1也没办法进军T2啊。对比盗贼和术士，德鲁伊的苦真是一言难尽。

PVE：B+，虽然是治疗的装备，但是实际上套装并不是太优秀。

PVP：D+，你可以考虑用奶来恶心死一些职业，但是你不要指望打死对手。

五、占卜师套装(2) 套装：每5秒回复4点法力值。(3) 套装：使你的精灵之火的效果持续时间提高5秒。(5) 套装：使你的星火术的致命一击概率提高3%。

祖尔格拉布的套装，这个套装我有点儿看不懂。装备属性看起来都是奶德专属，但是5件套偏偏对鸟德是极大的。个人感觉还是如果想玩鸟德就只要拿个项链吧，的几件治疗装还不如T1呢。

六、怒风套装(4) 套装：使你在施法时仍保持15%的法力回复速度。(5) 套装：使你的愈合法术的施法时间减少0.2秒。(8) 套装：使你的回春术的持续时间延长3秒。

T2对于治疗来说属性简直是完美，可以轻松用到NAXX后期。样子也非常好看，牛头人装备起来傻傻可爱。缺点么和T1一样，力量和法伤完全不加，你可以把这个套装看成T1的加强版。

PVE：S-，3件套的回蓝能力非常优秀，其余的加成也谈不上差。

PVP：C-，你可以考虑用奶来恶心死一些职业，但是你不要指望打死对手。

七、督军的圣装/元帅的圣装(2) 套装：+20 耐力。(3) 套装：使你在熊形态、猎豹形态或旅行形态下的移动速度提高15%，只能在户外使用。(6) 套装：+40 攻击强度。

依然是加强版本的军装套，整个套装智力和精神加成非常有限，主要是突出了耐力力量和敏捷。如果真要玩野德的话，军装基本是最佳选择了。能搭配一些T2.5或者以上级别的皮甲散件更加完美，想玩平衡的咕咕又要哭了。但是R14获得难度非常之高，你需要一支非常专业外加优秀的农民团队，还需要大量的身外之物才能获得。

PVE：C，智力加成太少，蓝根本刷不了几次。

PVP：S-，很遗憾，德鲁伊PVP套装没有S+的。虽然R14很强，但是面对NAXX级别的对手非常吃力，所以后期还是要搭配皮甲散件。

八、起源套装(3)套装：防御技能提高15点。(3) 套装：+150 护甲。(5) 套装：复生法术的冷却时间减少10分钟。

T2.5套装的属性非常微妙，完完全全又是一个四不像。3件套属性其实还可以，对PVP和坦克有一定的作用。这5件套属性是什么鬼？有人会穿T2.5洗奶妈？综合来说比较适合鸟德和野德来PVP，但是智力加的也少。可以3件套搭配R14洗野德来PK，但是总感觉缺少一点什么。

PVE：A，硬属性排在这里，虽然是个四不像，但是比T1要好一些。

PVP：S-，可以和R14搭配，弥补蓝的不足，同时三件套的加成不容小觑。

九、梦游者套装(3) 套装：你的回春术每一跳都有一定概率为目标回复60点法力值，8点能量值，或者2点怒气值。(4) 套装：使你的治疗之触、愈合、回春术和宁静的法力消耗值降低3%。(6) 套装：你的愈合法术初始治疗效果和持续的每一跳都可以令目标的生命值上限提高最多50点，效果可重叠最多7次。(8) 套装：治疗之触的极效治疗效果可以使你恢复该法术所消耗法力值的30%。

恐怖的治疗套装，即便是面对地球时代最强治疗的牧师T3套装都不逊色。名字也非常直接，意思就是叫德鲁伊乖乖当治疗算了，不要做梦PVP了。整个套装依然还是力量敏捷法伤不加，完美的治疗套装。所以说德鲁伊有够惨的，三个套装都是治疗加血的，想选个PVP打架都是非常困难。好歹NAXX也是地球时代最难的副本，费了九牛二虎之力才弄一件治疗装真是有苦说不出。

PVE：S+，我甚至怀疑在治疗方面，德鲁伊的套装比牧师还强。

PVP：B+，虽然一对一没有优势，但是依靠着高护甲和高治疗，你完全可以恶心死一些职业。

以上就是德鲁伊的经典套装点评，可以看到最惨的就是鹌鹑德鲁伊，PVP到哪都不受待见，还要和法系职业抢武器抢装备。

如果服大家要玩德鲁伊，一定要做好长期当奶的心理准备。即便如此，前期五人本德鲁伊作为治疗也是非常痛苦，不过团本德鲁伊地位还行。

本文由网易大神独家提供

微服务架构的演进

另一方面，当应用被拆分为多个微服务程序后，程序内的方法呼叫变成了了程序间的远端呼叫。引入了对大量服务的连线、管理和监控的复杂性。

该变化带来了分散式系统的一系列问题，例如：

如何找到服务的提供方？如何保证远端方法呼叫的可靠性？如何保证服务呼叫的安全性？如何降低服务呼叫的延迟？如何进行端到端的除错？另外生产部署中的微服务例项也增加了运维的难度，例如：

如何收集大量微服务的效能指标已进行分析？如何在不影响上线业务的情况下对微服务进行升级？如何测试一个微服务丛集部署的容错和稳定性？这些问题涉及到成百上千个服务的通讯、管理、部署、版本、安全、故障转移、策略执行、遥测和监控等，要解决这些微服务架构引入的问题并非易事。

让我们来回顾一下微服务架构的发展过程。在出现服务网格之前，我们最开始在微服务应用程序内理服务之间的通讯逻辑，包括服务发现、熔断、重试、超时、加密、限流等逻辑。

在一个分散式系统中，这部分逻辑比较复杂，为了为微服务应用提供一个稳定、可靠的基础设施层，避免大家重复造轮子，并减少犯错的可能，一般会通过对这部分负责服务通讯的逻辑进行抽象和归纳，形成一个程式码库供各个微服务应用程序使用，如下图所示：

公共的程式码库减少了应用程序的开发和维护工作量，降低了由应用开发人员单独实现微服务通讯逻辑出现错误的概率，但还是存在下述问题：

微服务通讯逻辑对应用开发人员并不透明，应用开发人员需要理解并正确使用程式码库，不能将其全部精力聚焦于业务逻辑。

需要针对不同的语言/框架开发不同的程式码库，反过来会影响微服务应用开发语言 和框架的选择，影响技术选择的灵活性。

随着时间的变化，程式码库会存在不同的版本，不同版本程式码库的相容性和大量执行环境中微服务的升级将成为一个难题。

可以将微服务之间的通讯基础设施层和TCP/IP协议栈进行类比。TCP/IP协议栈为操作系统中的所有应用提供基础通讯服务，但TCP/IP协议栈和应用程序之间并没有紧密的耦合关系，应用只需要使用TCP/IP协议提供的底层通讯功能，并不关心TCP/IP协议的实现，如IP如何进行路由，TCP如何建立连结等。

同样地，微服务应用也不应该需要关注服务发现，Load balancing、Retries、Circuit Breaker等微服务之间通讯的底层细节。如果将为微服务提供通讯服务的这部分逻辑从应用程序程序中抽取出来，作为一个单独的程序进行部署，并将其作为服务间的通讯代理，可以得到如下图所示的架构：

因为通讯代理程序伴随应用程序一起部署，因此形象地把这种部署方式称为“Sidecar”/边车（即三轮摩托的挎斗）。

应用间的所有流量都需要经过代理，由于代理以Sidecar方式和应用部署在同一台主机上，应用和代理之间的通讯可以被认为是可靠的。由代理来负责找到目的服务并负责通讯的可靠性和安全等问题。

当服务大量部署时，随着服务部署的Sidecar代理之间的连线形成了一个如下图所示的网格，该网格成为了微服务的通讯基础设施层，承载了微服务之间的所有流量，被称之为Service Mesh（服务网格）。

服务网格是一个基础设施层，用于处理服务间通讯。云原生应用有着复杂的服务拓扑，服务网格保证请求可以在这些拓扑中可靠地穿梭。在实际应用当中，服务网格通常是由一系列轻量级的组成的，它们与应用程序部署在一起，但应用程序不需要知道它们的存在。

服务网格中有数量众多的Sidecar代理，如果对每个代理分别进行设定，工作量将非常巨大。为了更方便地对服务网格中的代理进行统一集中控制，在服务网格上增加了控制面元件。

这里我们可以类比SDN的概念，控制面就类似于SDN网管中的，负责路由策略的指定和路由规则下发；资料面类似于SDN网络中交换机，负责资料包的转发。

由于微服务的所有通讯都由服务网格基础设施层提供，通过控制面板和资料面板的配合，可以对这些通讯进行监控、托管和控制，以实现微服务灰度释出，呼叫分散式追踪，故障注入模拟测试，动态路由规则，微服务闭环控制等管控功能。

Istio服务网格

凭借Kubernetes良好的架构设计及其强大的扩充套件性，Google围绕Kubernetes打造一个生态系统。Kubernetes用于微服务的编排（编排是英文Orchestration的直译，用大白话说就是描述一组微服务之间的关联关系，并负责微服务的部署、终止、升级、缩扩容等）。其向下用CNI（容器网络界面），CRI（容器执行时界面）标准界面可以对接不同的网络和容器执行时实现，提供微服务执行的基础设施。向上则用Istio提供了微服务治理功能。

由下图可见，Istio补充了Kubernetes生态圈的重要一环，是Google的微服务版图里一个里程碑式的扩张。

Google借Istio的力量推动微服务治理的事实标准，对Google自身的产品Google Cloud有极其重大的意义。其他的云服务厂商，如Redhat、Pivotal、Nginx、Buoyant等看到大势所趋，也纷纷跟进，宣布自身产品和Istio进行整合，以避免自己被落下，丢失其中的市场机会。

可以预见不久的将来，对于云原生应用而言，采用Kubernetes进行服务部署和丛集管理，采用Istio处理服务通讯和治理，将成为微服务应用的标准配置。

Istio服务包括网格由资料面和控制面两部分。

资料面由一组智慧代理（Envoy）组成，代理部署为边车，调解和控制微服务之间所有的网络通讯。

控制面负责管理和配置代理来路由流量，以及在执行时执行策略。

Istio控制面

Pilot

Pilot维护了网格中的服务的标准模型，这个标准模型是独立于各种底层平台的。Pilot通过界面卡和各底层平台对接，以填充此标准模型。

例如Pilot中的Kubernetes界面过Kubernetes API服务器得到Kubernetes中Pod注册资讯的更改，入口资源以及储存流量管理规则等资讯，然后将该资料被翻译为标准模型提供给Pilot使用。通过界面卡模式，Pilot还可以从Mesos、Cloud Foundry、Consul中获取服务资讯，也可以开发界面卡将其他提供服务发现的元件整合到Pilot中。

除此以外，Pilo还定义了一套和资料面通讯的标准API，API提供的界面内容包括服务发现 、负载均衡池和路由表的动态更新。通过该标准API将控制面和资料面进行了解耦，简化了设计并提升了跨平台的可移植性。基于该标准API已经实现了多种Sidecar代理和Istio的整合，除Istio目前整合的Envoy外，还可以和Linkerd、Nginmesh等第三方通讯代理进行整合，也可以基于该API自己编写Sidecar实现。

Pilot还定义了一套DSL（Domain Specific Language）语言，DSL语言提供了面向业务的高层抽象，可以被运维人员理解和使用。运维人员使用该DSL定义流量规则并下发到Pilot，这些规则被Pilot翻译成资料面的配置，再通过标准API分发到Envoy例项，可以在执行期对微服务的流量进行控制和调整。

Mixer

在微服务应用中，通常需要部署一些基础的后端公共服务以用于支撑业务功能。这些基础设施包括策略类如访问控制，配额管理；以及遥测报告如APM、日志等。微服务应用和这些后端支撑系统之间一般是直接整合的，这导致了应用和基础设定之间的紧密耦合，如果因为运维原因需要对基础设定进行升级或者改动，则需要修改各个微服务的应用程序码，反之亦然。

为了解决该问题，Mixer在应用程序程式码和基础架构后端之间引入了一个通用中间层。该中间层解耦了应用和后端基础设施，应用程序程式码不再将应用程序程式码与特定后端整合在一起，而是与Mixer进行相当简单的整合，然后Mixer负责与后端系统连线。

Mixer主要提供了三个核心功能：

前提条件检查。允许服务在响应来自服务消费者的传入请求之前验证一些前提条件。前提条件可以包括服务使用者是否被正确认证，是否在服务的白名单上，是否通过ACL检查等等。

配额管理。 使服务能够在分配和释放多个维度上的配额，配额这一简单的资源管理工具可以在服务消费者对有限资源发生争用时，提供相对公平的（竞争手段）。Rate Limiting就是配额的一个例子。

遥测报告。使服务能够上报日志和监控。在未来，它还将启用针对服务运营商以及服务消费者的跟踪和计费流。

Mixer的架构如图所示：

首先，Sidecar会从每一次请求中收集相关资讯，如请求的路径，时间，源IP，目地服务，tracing头，日志等，并请这些属性上报给Mixer。Mixer和后端服务之间是通过界面卡进行连线的，Mixer将Sidecar上报的内容通过界面卡传送给后端服务。

由于Sidecar只和Mixer进行对接，和后端服务之间并没有耦合，因此使用Mixer界面卡机制可以接入不同的后端服务，而不需要修改应用的程式码，例如通过不同的Mixer界面卡，可以把Metrics收集到Prometheus或者InfluxDB，甚至可以在不停止应用服务的情况下动态切换后台服务。

其次，Sidecar在进行每次请求处理时会通过Mixer进行策略判断，并根据Mixer返回的结果决定是否继续处理该次呼叫。通过该方式，Mixer将策略决策移出应用层，使运维人员可以在执行期对策略进行配置，动态控制应用的行为，提高了策略控制的灵活性。例如可以配置每个微服务应用的访问白名单，不同客户端的Rate limiting，等等。

逻辑上微服务之间的每一次请求呼叫都会经过两次Mixer的处理：呼叫前进行策略判断，呼叫后进行遥测资料收集。Istio采用了一些机制来避免Mixer的处理影响Envoy的转发效率。

从上图可以看到，Istio在Envoy中增加了一个Mixer Filter，该Filter和控制面的Mixer元件进行通讯，完成策略控制和遥测资料收集功能。Mixer Filter中储存有策略判断所需的资料快取，因此大部分策略判断在Envoy中就处理了，不需要传送请求到Mixer。另外Envoy收集到的遥测资料会先储存在Envoy的快取中，每隔一段时间再通过批量的方式上报到Mixer。

Auth

Istio支援双向SSL认证（Mutual SSL Authentication）和基于角色的访问控制（RBAC），以提供端到端的安全解决方案。

认证

Istio提供了一个内部的CA（证书机构），该CA为每个服务颁发证书，提供服务间访问的双向SSL身份认证，并进行通讯加密，其架构如下图所示：

其工作机制如下：

部署时：

CAKubernetes API Server，为丛集中的每一个Service Account建立一对金钥和证书，并发送给Kubernetes API Server。注意这里不是为每个服务生成一个证书，而是为每个Service Account生成一个证书。Service Account和Kubernetes中部署的服务可以是一对多的关系。Service Account被储存在证书的SAN（Subject Alternative Name）字段中。

当Pod建立时，Kubernetes根据该Pod关联的Service Account将金钥和证书以Kubernetes Secrets资源的方式载入为Pod的Volume，以供Envoy使用。

Pilot生成资料面的配置，包括Envoy需使用的金钥和证书资讯，以及哪个Service Account可以允许执行哪些服务，下发到Envoy。

备注：如果是虚机环境，则采用一个Node Agent生成金钥，向Istio CA申请证书，然后将证书传递给Envoy。

执行时：

服务客户端的出站请求被Envoy接管。

客户端的Envoy和服务端的Envoy开始双向SSL握手。在握手阶段，客户端Envoy会验证服务端Envoy证书中的Service Account有没有许可权执行该请求的服务，如没有许可权，则认为服务端不可信，不能建立连结。

当加密TSL连结建立好后，请求资料被发送到服务端的Envoy，然后被Envoy通过一个本地的TCP连结传送到服务中。

鉴权

Istio“基于角色的访问控制”（RBAC）提供了名称空间、服务、方法三个不同大小粒度的服务访问许可权控制。其架构如下图所示：

管理人员可以定制访问控制的安全策略，这些安全策略储存在Istio Config Store中。 Istio RBAC Engine从Config Store中获取安全策略，根据安全策略对客户端发起的请求进行判断，并返回鉴权结果（允许或者禁止）。

Istio RBAC Engine目前被实现为一个Mixer Adapter，因此其可以从Mixer传递过来的上下文中获取到访问请求者的身份（Subject）和操作请求（Action），并通过Mixer对访问请求进行策略控制，允许或者禁止某一次请求。

Istio Policy中包含两个基本概念：

ServiceRole，定义一个角色，并为该角色指定对网格中服务的访问许可权。指定角色访问许可权时可以在名称空间，服务，方法的不同粒度进行设定。

ServiceRoleBinding，将角色系结到一个Subject，可以是一个使用者，一组使用者或者一个服务。

Istio资料面

Istio资料面以“边车”（Sidecar）的方式和微服务一起部署，为微服务提供安全、快速、可靠的服务间通讯。由于Istio的控制面和资料面以标准界面进行互动，因此资料可以有多种实现，Istio预设使用了Envoy代理的扩充套件版本。

Envoy是以C++开发的高效能代理，用于调解服务网格中所有服务的所有入站和出站流量。Envoy的许多内建功能被Istio发扬光大，例如动态服务发现、负载均衡、TLS加密、HTTP/2 & gRPC代理、熔断器、路由规则、故障注入和遥测等。

Istio资料面支援的特性如下：

备注：Outbound特性是指服务请求侧的Sidecar提供的功能特性，而Inbound特性是指服务提供侧Sidecar提供的功能特性。一些特性如遥测和分散式跟踪需要两侧的Sidecar都提供支援；而另一些特性则只需要在一侧提供，例如鉴权只需要在服务提供侧提供，重试只需要在请求侧提供。

典型应用场景

1.分散式呼叫追踪

在微服务架构中，业务的呼叫链非常复杂，一个来自使用者的请求可能涉及到几十个服务的协同处理。因此需要一个跟踪系统来记录和分析同一次请求在整个呼叫链上的相关事件，从而帮助研发和运维人员分析系统瓶颈，快速定位异常和优化呼叫链路。

Istio通过在Envoy代理上收集呼叫相关资料，实现了对应用无侵入的分散式呼叫跟踪分析。 Istio实现分散式呼叫追踪的原理如下图所示：

Envoy收集一个端到端呼叫中的各个分段的资料，并将这些呼叫追踪资讯传送给Mixer，Mixer Adapter将追踪资讯传送给相应的服务后端进行处理。整个呼叫追踪资讯的生成流程不需要应用程序介入，因此不需要将分散式跟踪相关程式码注入到应用程序中。

注意：应用仍需要在进行出口呼叫时将收到的入口请求中tracing相关的header转发出去，传递给呼叫链中下一个边车进行处理。

2.度量收集

Istio 实现度量收集的原理如下图所示：

Envoy收集指标相关的原始资料，如请求的服务、HTTP状态码、呼叫时延等，这些收集到的指标资料被送到Mixer，通过Mixer Adapters将指标资讯转换后传送到后端的监控系统中。由于Mixer使用了外挂机制，后端监控系统可以根据需要在执行期进行动态切换。

如果你们想提升自己的技术，想学习以上的技术要点，你们可以加群获取，在此我向大家推荐一个交流学习群：575745314 里面会分享一些资深架构师录制的视讯录影：有Spring，MyBatis，Netty源代码分析，高并发、高效能、分散式、微服务架构的原理，JVM效能优化这些成为架构师必备的知识体系。还能领取免费的学习资源，目前受益良多。

3.灰度释出

当应用上线以后，运维面临的一大挑战是如何能够在不影响已上线业务的情况下进行升级。无论进行了多么完善的测试，都无法保证线下测试时发现所有潜在故障。在无法百分百避免版本升级故障的情况下，需要通过一种方式进行可控的版本释出，把故障影响控制在可以接受的范围内，并可以快速回退。

可以通过灰度释出（又名金丝雀释出）来实现业务从老版本到新版本的平滑过渡，并避免升级过程中出现的问题对使用者造成的影响。

Istio通过高度的抽象和良好的设计采用一致的方式实现了灰度释出。在释出新版本后，运维人员可以通过定制路由规则将特定的流量（如具有指定特征的测试使用者）汇入新版本服务中以进行测试。通过渐进受控地向新版本汇入生产流量，可以最小化升级中出现的故障对使用者的影响。

采用Istio进行灰度释出的流程如下图所示：

首先，通过部署新版本的服务，并将通过路由规则将金丝雀使用者的流量汇入到新版本服务中。

测试稳定后，使用路由规则将生产流量逐渐汇入到新版本系统中，如按5%、10%、50%、80%逐渐汇入。

如果新版本工作正常，则最后将所有流量汇入到新版本服务中，并将老版本服务下线；如中间出现问题，则可以将流量重新导回老版本，在新版本中修复故障后采用该流程重新发布。

4.断路器

在微服务架构中，存在着许许多多的服务单元，若一个服务出现故障，就会因依赖关系形成故障蔓延，最终导致整个系统的瘫痪，这样的架构相较传统架构就更加的不稳定。为了解决这样的问题，因此产生了断路器模式。

断路器模式指，在某个服务发生故障时，断路器的故障监控向呼叫放返回一个及时的错误响应，而不是长时间的等待。这样就不会使得呼叫执行绪因呼叫故障被长时间占用，从而避免了故障在整个系统中的蔓延。

Istio的断路器还支援配置最大连结数，最大待处理请求数，最大请求数，每连结最大请求数，重试次数等引数。当达到设定的最大请求数后，新发起的请求会被Envoy直接拒绝。

5.故障注入

对于一个大型微服务应用而言，系统的健壮性非常重要。在微服务系统中存在大量的服务例项，当部分服务例项出现问题时，微服务应用需要具有较高的容错性，通过重试、断路、自愈等手段保证系统能够继续对外正常提供服务。因此在应用释出到生产系统强需要对系统进行充分的健壮性测试。

对微服务应用进行健壮性测试的一个最大的困难是如何对系统故障进行模拟。在一个部署了成百上千微服务的测试环境中，如果想通过对应用，主机或者交换机进行设定来模拟微服务之间的通讯故障是非常困难的。

Istio通过服务网格承载了微服务之间的通讯流量，因此可以在网格中通过规则进行故障注入，模拟部分微服务出现故障的情况，对整个应用的健壮性进行测试。

总结

Istio具有良好的架构设计，提供了强大的二次开发扩充套件性和使用者定制能力。虽然Istio目前还处于beta阶段，但已经获得众多知名公司和产品的支援，是一个非常具有前景的开源服务网格开源专案。

今天的分享就到这里，尽请关注，后续更精彩。