Istio Wasm, 아직도 EnvoyFilter 쓰세요? 😥 당신의 서비스를 지키는 가장 안전한 배포법

안녕하세요! 오늘은 서비스 메시 환경의 강력한 무기, Istio와 Wasm(WebAssembly)에 대해 이야기해보려고 합니다. Istio를 사용하면 서비스 간의 통신을 제어하고 관찰할 수 있죠. 여기에 Wasm을 더하면 Envoy 프록시의 기능을 마음껏 확장할 수 있습니다. 마치 스마트폰에 원하는 앱을 설치하는 것처럼요! 📱

 

그런데 이 강력한 Wasm 모듈, 어떻게 배포하고 계신가요? 혹시 EnvoyFilter를 사용해 직접 설정을 주입하고 계신가요? 물론 가능하지만, 자칫 잘못하면 서비스 전체를 마비시킬 수 있는 위험한 방법일 수 있습니다.

 

오늘은 왜 WasmPlugin 리소스가 EnvoyFilter보다 훨씬 더 안전하고 현명한 선택인지, 그 이유를 속 시원하게 파헤쳐 보겠습니다.

---

💣 시한폭탄과도 같은 방법: EnvoyFilter

EnvoyFilter는 Istio의 매우 강력하지만 다루기 어려운 기능입니다. Envoy 프록시의 설정을 아주 낮은 레벨에서 직접 수정할 수 있게 해주죠. 비유하자면, 자동차 엔진을 열고 부품을 직접 교체하거나 배선을 바꾸는 것과 같아요. 🔧

왜 위험할까요?

EnvoyFilter는 말 그대로 Envoy의 설정(configuration dump)을 직접 '패치(patch)'하는 방식입니다. 여기서 작은 실수 하나가 전체 프록시의 동작을 멈추게 하거나, 예상치 못한 네트워크 장애를 일으킬 수 있습니다.

• 설정의 복잡성: Envoy의 내부 설정 구조를 완벽하게 이해해야 합니다. 필터 체인의 어느 위치에, 어떤 형식으로 Wasm 필터를 삽입할지 정확히 명시해야 하죠.
• 오타와 구조 오류: YAML 설정에서 들여쓰기 하나, 필드 이름 오타 하나만으로도 Istio가 설정을 제대로 파싱하지 못하고 전체 워크로드의 Envoy 프록시를 망가뜨릴 수 있습니다. 😱
• 버전 의존성: Istio나 Envoy 버전이 업그레이드되면서 내부 설정 구조가 바뀌면, 기존에 잘 동작하던 EnvoyFilter가 갑자기 오류를 일으킬 수 있습니다.

EnvoyFilter를 사용한 Wasm 배포 예시

아래는 EnvoyFilter를 사용해 Wasm 필터를 주입하는 예시입니다. 코드가 얼마나 복잡하고 장황한지 한번 보세요.

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: my-wasm-filter-example
  namespace: my-app
spec:
  workloadSelector:
    labels:
      app: my-product-api
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: SIDECAR_INBOUND
        listener:
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.filters.http.wasm
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.http.wasm.v3.Wasm
            config:
              name: "my_wasm_module"
              root_id: "my_root_id"
              vm_config:
                vm_id: "my_vm_id"
                runtime: "envoy.wasm.runtime.v8"
                code:
                  local:
                    filename: "/etc/envoy/wasm/my_module.wasm"
              configuration:
                  "@type": "type.googleapis.com/google.protobuf.StringValue"
                  value: |
                    {
                      "message": "Hello from Wasm!"
                    }

보기만 해도 어지럽지 않나요? applyTo, match, patch 등 신경 써야 할 부분이 너무 많고, Envoy의 내부 구조를 모르면 작성하기조차 어렵습니다.

---

✨ 안전하고 우아한 방법: WasmPlugin

이러한 EnvoyFilter의 위험성과 복잡성을 해결하기 위해 등장한 것이 바로 WasmPlugin 리소스입니다. WasmPlugin은 Wasm 모듈 배포라는 특정 목적을 위해 만들어진 고수준의 추상화된 API입니다.

자동차 비유를 다시 가져오자면, 엔진을 직접 만지는 대신, 잘 설계된 내비게이션 화면에서 목적지를 설정하는 것과 같습니다. 훨씬 간단하고 안전하죠! 

왜 안전하고 좋을까요?

WasmPlugin은 Wasm 모듈을 배포하는 데 필요한 정보만 간결하게 입력받습니다. 복잡한 Envoy 설정 패치는 Istio가 알아서 처리해주죠.

• 단순하고 명확한 API: Wasm 모듈의 URL, 필요한 설정 값 등 필수 정보만 입력하면 됩니다. 사용자는 Envoy의 내부 동작을 몰라도 괜찮습니다.
• 오류 위험 감소: 설정이 단순하기 때문에 사람이 실수할 여지가 크게 줄어듭니다. Istio가 내부적으로 유효성 검사를 수행하여 잘못된 설정이 배포되는 것을 막아줍니다. ✅
• 뛰어난 이식성과 재사용성: WasmPlugin 리소스는 그 자체로 독립적이라 다른 환경이나 다른 워크로드에 쉽게 재적용할 수 있습니다.

WasmPlugin을 사용한 Wasm 배포 예시

위와 동일한 작업을 WasmPlugin으로 구현하면 어떻게 될까요? 아래 코드를 보세요.

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: my-wasm-plugin-example
  namespace: my-app
spec:
  selector:
    matchLabels:
      app: my-product-api
  url: oci://my-registry/wasm/my_module:1.0.0
  pluginConfig:
    message: "Hello from Wasm!"

믿을 수 없을 정도로 간단해졌죠? 🤩

• selector: 어떤 워크로드에 적용할지 선택합니다.
• url: 배포할 Wasm 모듈의 위치를 지정합니다. (OCI 이미지 등)
• pluginConfig: Wasm 모듈에 전달할 설정을 간편하게 기입합니다.

복잡한 patch 로직 없이, "무엇을(What)" 배포할지만 선언하면 "어떻게(How)"는 Istio가 알아서 처리해줍니다.

---

🎯 전체 맥락에서 비교하기: EnvoyFilter vs. WasmPlugin

 

항목	EnvoyFilter  😥	WasmPlugin ✨
추상화 수준	낮음 (Low-level)	높음 (High-level)
사용 목적	Envoy의 모든 설정을 패치하는 범용 도구	Wasm 모듈 배포 전용
안전성	낮음 (설정 오류 시 전체 프록시 장애 가능)	높음 (안전한 추상화 제공)
복잡도	매우 높음	매우 낮음
권장 사용	WasmPlugin으로 불가능한 특수한 Envoy 설정이 필요할 때 최후의 수단으로 사용	Wasm 모듈 배포의 표준이자 권장 방법

결론적으로, Wasm 모듈을 배포할 때 EnvoyFilter를 사용하는 것은 망치를 가지고 시계를 수리하려는 것과 같습니다. 가능은 하지만, 더 안전하고 적합한 도구(WasmPlugin)가 있는데 굳이 위험을 감수할 필요는 없겠죠.

안정적인 서비스 운영을 위해, 이제부터 Wasm 모듈 배포는 꼭 WasmPlugin을 사용해보세요! 여러분의 서비스 메시가 한층 더 견고해질 겁니다. 💪

---