Belajar Istio - Multi-cluster & Mesh Federation

#Pendahuluan

Aplikasi skala besar jarang hidup di satu cluster: zona failure, latensi regional, dan batas kuota memaksa kalian menyebar ke beberapa cluster. Episode 16 ini membahas cara membangun satu mesh lintas cluster dengan Istio — topologi yang tersedia, peran east-west gateway, dan bagaimana identitas serta trust disatukan.

#Topologi Multi-cluster

#Primary-Remote (Shared Control Plane)

Pola paling umum: satu cluster primary menjalankan istiod; cluster remote memakai istiod tersebut tanpa menjalankan control plane sendiri. Remote cluster meng-install profile remote:

istioctl install --context=cluster-remote --set profile=remote --set values.global.remotePilotAddress=<IP_primary>

--set profile=remote membuat cluster remote terhubung ke istiod di cluster primary. Kelebihan: satu titik kontrol, konfigurasi seragam. Kekurangan: istiod menjadi single point — pastikan availability-nya (episode 14).

#Replicated Control Plane

Setiap cluster menjalankan istiod-nya sendiri, dan setiap istiod mengelola konfigurasi untuk seluruh mesh:

• Setiap cluster punya istiod yang melayani workload lokalnya.
• Semua istiod terhubung dan berbagi state service dari seluruh cluster.
• Jika satu istiod mati, cluster itu tetap bisa dipulihkan oleh tetangganya.

#External Control Plane

Control plane berjalan di cluster terpisah, bukan tempat workload dijalankan. Cocok ketika platform team dan workload harus diisolasi. Ketiganya memakai pola konfigurasi yang sama untuk discovery lintas cluster.

#East-west Gateway dan Service Routing

#Peran East-west Gateway

Untuk traffic antar cluster, Istio memakai gateway khusus yang disebut east-west gateway (istio-eastwestgateway). Ia mengekspos port mTLS dan memungkinkan service remote dicapai:

apiVersion: networking.istio.io/v1
kind: Gateway
metadata:
  name: eastwest-gateway
  namespace: istio-system
spec:
  selector:
    istio: eastwestgateway
  servers:
  - port:
      number: 15443
      name: tls
      protocol: TLS
    tls:
      mode: AUTO_PASSTHROUGH
    hosts:
    - "*.local"

tls.mode: AUTO_PASSTHROUGH meneruskan traffic mTLS ke service tujuan berdasarkan SNI tanpa membongkar isinya. Ini memungkinkan load balancing global lintas cluster dengan mTLS tetap utuh.

#Routing dan Ekspor Service

Secara default, service tidak terlihat lintas cluster. Atur ekspor dengan ServiceEntry dan label ekspor:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: productpage-remote
spec:
  hosts:
  - productpage.remote-ns.svc.cluster.local
  location: MESH_INTERNAL
  resolution: DNS
  addresses:
  - 240.0.0.1
  endpoints:
  - address: <IP_eastwest_remote>
    ports:
      tls: 15443

ServiceEntry semacam ini dipasang di semua cluster agar tahu cara mencapai service di cluster remote lewat east-west gateway.

#Multi-cluster DNS

Setiap cluster punya CoreDNS sendiri, sehingga nama svc.cluster.local tidak otomatis dikenal lintas cluster. Solusinya:

• Istio DNS proxy: mem-answer resolusi untuk nama yang diekspor dari cluster lain.
• Global DNS: menyiapkan kube-dns global yang menggabungkan seluruh cluster.

Untuk memakai Istio DNS proxy, aktifkan di istiod:

spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: "true"
        ISTIO_META_DNS_AUTO_ALLOCATE: "true"

ISTIO_META_DNS_CAPTURE: "true" membuat Envoy menyelesaikan nama service remote secara lokal, mengurangi ketergantungan pada DNS cluster. Address 240.0.0.0/8 dipakai untuk alokasi otomatis endpoint remote.

#Trust dan Security Lintas Cluster

#Trust Domain yang Konsisten

Identitas di seluruh cluster berasal dari trust domain dan root CA yang sama:

• Semua cluster harus memakai trustDomain dan meshID yang sama.
• Sertifikat workload harus ditandatangani oleh root CA yang konsisten.
• Verifikasi dari satu cluster terhadap yang lain lewat identitas cluster.local/ns/.../sa/....

Atur di MeshConfig:

spec:
  meshConfig:
    meshID: mesh-produksi
    trustDomain: cluster.local

meshID: mesh-produksi mengidentifikasi mesh di telemetry dan ekspor service. Jika dua mesh ingin saling memanggil tanpa bergabung penuh, gunakan federation mesh-to-mesh dengan trust domain yang saling diakui — kasus yang lebih jarang dan lebih kompleks.

#Penutup

Episode 16 menyatukan banyak cluster menjadi satu mesh: topologi primary-remote, replicated, dan external control plane; east-west gateway dengan mode AUTO_PASSTHROUGH; ekspor service dan DNS lintas cluster; serta pembentukan trust domain yang konsisten untuk security.

Inti yang harus dibawa pulang:

• Primary-remote memusatkan istiod; replicated mendistribusikannya.
• East-west gateway menangani traffic antar cluster dengan mTLS utuh.
• Service harus diekspor eksplisit agar terlihat lintas cluster.
• Istio DNS proxy membantu resolusi nama service remote.
• Trust domain dan meshID harus konsisten di seluruh cluster.
• Federation penuh hanya jika trust antar mesh dibangun secara eksplisit.
• Multi-cluster menambah kompleksitas; pastikan kebutuhan regionalnya nyata.

Di episode 17 selanjutnya kita akan membahas mode baru yang sedang matang: ambient mesh dan sidecar-less patterns — konsep ztunnel, waypoint proxy, perbedaan keamanan dan observability dengan model sidecar, serta status stability-nya di rilis Istio.