在 Kubernetes 上用 Linkerd…

适用于在 Kubernetes 中搭建轻量、安全优先的 Linkerd 服务网格，配置 mTLS、流量策略、金丝雀发布、访问控制、多集群与调试监控。

适用场景

解决思路

1. 安装 Linkerd CLI：`curl --proto '=https' --tlsv1.2 -sSfL https://run.linkerd.io/install | sh`
2. 安装前校验集群：`linkerd check --pre`
3. 安装 CRDs：`linkerd install --crds | kubectl apply -f -`
4. 安装控制平面：`linkerd install | kubectl apply -f -`
5. 验证安装：`linkerd check`
6. 可选安装 viz 扩展：`linkerd viz install | kubectl apply -f -`
7. 为命名空间启用自动注入：在 Namespace 的 metadata.annotations 设置 `linkerd.io/inject: enabled`
8. 或为特定 Deployment 启用注入：在 Deployment 的 metadata.annotations 和 spec.template.metadata.annotations 设置 `linkerd.io/inject: enabled`
9. 创建 ServiceProfile：apiVersion 使用 `linkerd.io/v1alpha2`，kind 使用 `ServiceProfile`，metadata.name 使用 `my-service.my-namespace.svc.cluster.local`，namespace 使用 `my-namespace`
10. 为 `GET /api/users` 配置路由：condition.method 使用 `GET`，pathRegex 使用 `/api/users`，responseClasses 的 condition.status 设置 min `500`、max `599`，isFailure 设置 `true`，isRetryable 设置 `true`
11. 为 `POST /api/users` 配置路由：condition.method 使用 `POST`，pathRegex 使用 `/api/users`，isRetryable 设置 `false`
12. 为 `GET /api/users/{id}` 配置路由：condition.method 使用 `GET`，pathRegex 使用 `/api/users/[^/]+`，timeout 设置 `5s`，isRetryable 设置 `true`
13. 配置 retryBudget：retryRatio 设置 `0.2`，minRetriesPerSecond 设置 `10`，ttl 设置 `10s`
14. 创建 TrafficSplit 做金丝雀：apiVersion 使用 `split.smi-spec.io/v1alpha1`，kind 使用 `TrafficSplit`，metadata.name 使用 `my-service-canary`，namespace 使用 `my-namespace`，spec.service 使用 `my-service`
15. 设置 TrafficSplit 后端权重：`my-service-stable` weight 使用 `900m`（90%），`my-service-canary` weight 使用 `100m`（10%）
16. 定义 Server：apiVersion 使用 `policy.linkerd.io/v1beta1`，kind 使用 `Server`，metadata.name 使用 `my-service-http`，namespace 使用 `my-namespace`，spec.podSelector.matchLabels.app 使用 `my-service`，port 使用 `http`，proxyProtocol 使用 `HTTP/1`
17. 创建 ServerAuthorization 允许指定客户端：kind 使用 `ServerAuthorization`，metadata.name 使用 `allow-frontend`，namespace 使用 `my-namespace`，spec.server.name 使用 `my-service-http`，client.meshTLS.serviceAccounts 指定 name `frontend`、namespace `my-namespace`
18. 创建 ServerAuthorization 允许未认证流量（如 ingress）：kind 使用 `ServerAuthorization`，metadata.name 使用 `allow-ingress`，namespace 使用 `my-namespace`，spec.server.name 使用 `my-service-http`，client.unauthenticated 设置 `true`，client.networks 的 cidr 使用 `10.0.0.0/8`
19. 创建 HTTPRoute 做高级路由：apiVersion 使用 `policy.linkerd.io/v1beta2`，kind 使用 `HTTPRoute`，metadata.name 使用 `my-route`，namespace 使用 `my-namespace`
20. 设置 HTTPRoute parentRefs：name 使用 `my-service`，kind 使用 `Service`，group 使用 `core`，port 使用 `8080`
21. 设置 HTTPRoute 规则 1：matches 的 path type 使用 `PathPrefix`、value 使用 `/api/v2`，并设置 headers name `x-api-version`、value `v2`；backendRefs name 使用 `my-service-v2`、port 使用 `8080`
22. 设置 HTTPRoute 规则 2：matches 的 path type 使用 `PathPrefix`、value 使用 `/api`；backendRefs name 使用 `my-service-v1`、port 使用 `8080`
23. 多集群：在每个集群安装 `linkerd multicluster install | kubectl apply -f -`
24. 链接集群：`linkerd multicluster link --cluster-name west --api-server-address https://west.example.com:6443 | kubectl apply -f -`
25. 导出服务到其他集群：`kubectl label svc/my-service mirror.linkerd.io/exported=true`
26. 验证跨集群连通性：`linkerd multicluster check`
27. 查看多集群网关：`linkerd multicluster gateways`
28. 实时流量视图：`linkerd viz top deploy/my-app`
29. 按路由指标：`linkerd viz routes deploy/my-app`
30. 查看代理状态：`linkerd viz stat deploy -n my-namespace`
31. 查看服务依赖：`linkerd viz edges deploy -n my-namespace`
32. 打开仪表盘：`linkerd viz dashboard`
33. 检查注入状态：`linkerd check --proxy -n my-namespace`
34. 查看代理日志：`kubectl logs deploy/my-app -c linkerd-proxy`
35. 调试 identity/TLS：`linkerd identity -n my-namespace`
36. 实时 tap 流量：`linkerd viz tap deploy/my-app --to deploy/my-backend`
37. 最佳实践 Do：启用 mTLS everywhere，Linkerd 会自动处理
38. 最佳实践 Do：使用 ServiceProfiles，获得 per-route metrics 和 retries
39. 最佳实践 Do：设置 retry budgets，防止 retry storms
40. 最佳实践 Do：监控 golden metrics，包括 success rate、latency、throughput
41. 最佳实践 Don't：不要跳过 check，变更后总是运行 `linkerd check`
42. 最佳实践 Don't：不要过度配置，Linkerd 默认值是合理的
43. 最佳实践 Don't：不要忽略 ServiceProfiles，它们解锁高级功能
44. 最佳实践 Don't：不要忘记 timeouts，为每个路由设置适当值

适用边界 · 注意事项

• 非 Kubernetes 环境或无权安装 Linkerd CRD/控制平面时不适用。
• 已采用其他服务网格（如 Istio）且不打算引入 Linkerd 时不适用。
• 只需要简单 Service/Ingress，不需要 mTLS、按路由重试、流量切分或服务网格可观测性时不适用。