Hizmet Ağı (Service Mesh)

Sistem Analizi

Ağ ve İletişimPRODUCTION

Normal Davranış

Her mikro hizmet (microservice) podunun yanına dağıtılan yan araba proxy'lerinden (sidecar proxies - Envoy gibi) oluşan dağıtık bir veri düzlemini (data plane) merkezi bir kontrol düzlemi (control plane - Istio gibi) ile eşleştirilmiş olarak çalıştırır. Proxy'ler tüm gelen ve giden ağ (network) trafiğini keser (intercept), kısa ömürlü kriptografik sertifikalarla (cryptographic certificates) sıfır güven (zero-trust) karşılıklı TLS'yi (mTLS) otomatik olarak uygular, dinamik trafik kaydırmayı (traffic shifting) ve yeniden denemeleri (retries) yönetir ve birleşik altın metrikleri (unified golden metrics - gecikme (latency), trafik, hatalar (errors), doygunluk (saturation)) ve dağıtık izleme (distributed tracing) başlıklarını (headers) gözlemlenebilirlik (observability) platformlarına yayar.

Çöküş Davranışı

Kontrol düzlemi (control plane) senkronizasyon (synchronization) gecikmesi veya yapılandırma hataları, yan araba proxy'lerinin (sidecar proxies) trafiği sonlandırılmış (terminated) veya sağlıksız (unhealthy) konteyner uç noktalarına (endpoints) yönlendirmesine neden olarak yaygın 503 Hizmet Kullanılamıyor (503 Service Unavailable) hatalarına yol açabilir. Ayrıca, yüksek proxy CPU ve bellek yükü, derin mikro hizmet (microservice) bağımlılık zincirlerinde birleşen art arda gecikme (latency) ani yükselişlerine (spikes) neden olabilir.

İş Sonuçları

Bir hizmet ağı (service mesh) kontrol düzlemi (control plane) geciktiğinde veya karşılıklı TLS (mTLS) sertifika rotasyonunu (certificate rotation) yanlış yapılandırdığında (misconfigures), devasa, kendi kendine verilen bir hizmet reddi (denial-of-service) saldırısı yaratır. Kümedeki (cluster) her mikro hizmet aniden diğer tüm hizmetlerden gelen trafiği reddeder, dahili iletişimi (internal communications) tamamen keser, platformu felç eder ve altta yatan (underlying) her uygulama tamamen sağlıklı olmasına rağmen milyonlarca dolarlık kesinti süresine (downtime) neden olur.

Görsel Tezahür

"Aynı anda her bir mikro hizmet (microservice) gösterge panosunda (dashboard) art arda gelen korkutucu bir HTTP 503 Hizmet Kullanılamıyor (503 Service Unavailable) ve 504 Ağ Geçidi Zaman Aşımı (504 Gateway Timeout) hataları duvarı."

Satirical Behavior

"An overzealous security guard demanding three forms of ID from employees walking between their own desks, eventually shutting down the entire office."

Bilinen İsimler

IstioEnvoy Mesh

Teknik Terminoloji

Mutual TLSSidecar proxyTraffic routing

Hata Göstergeleri

Proxy crashCertificate expiredMesh degraded

Sistem Mimarisi

Click or hover to interact

Kullanan Karakterler

agent a

FAQ

Normalde nasıl davranır?

Nasıl çöker?

İş sonuçları nelerdir?

How does service mesh control plane latency cause traffic black holes during rapid auto-scaling events?

In dynamic environments where pods scale rapidly, the control plane must compute updated endpoint discovery tables (e.g., Envoy EDS) and broadcast them across thousands of active sidecar proxies. If the control plane becomes CPU-throttled or message distribution buffers back up, sidecar proxies continue forwarding traffic to the IP addresses of deleted or unready pods, generating severe bursts of connection refused and HTTP 503 errors.

What causes mutual TLS (mTLS) certificate rotation failures in a service mesh?

When intermediate Certificate Authorities rotate or root certificates are refreshed, sidecar proxies must dynamically reload the new cryptographic trust bundles. If worker nodes experience system clock drift (clock skew) or if sidecar proxy processes fail to reload certificate files from local memory, upstream proxies present new leaf certificates that downstream proxies reject as untrusted, severing inter-service communication across the entire cluster.

Sistemi keşfet

Incidentpedia'da devam et→Olay Dizinini oku→Stack'leri incele→Konuları keşfet→Bölümleri izle→Ajanlar→

AI özeti

Service Mesh is a NETWORKING system in TinyCTO.tv. Operates a distributed data plane of sidecar proxies (such as Envoy) deployed alongside every microservice pod, paired with a centralized control plane (such as Istio). The proxies intercept all inbound and outbound network traffic, automatically enforce zero-trust mutual TLS (mTLS) with short-lived cryptographic certificates, manage dynamic traffic shifting and retries, and emit unified golden metrics (latency, traffic, errors, saturation) and distributed tracing headers to observability platforms.