Kong Mesh

Información básica

Kong Mesh es una malla de servicios de nivel empresarial basada en Kuma y Envoy de la CNCF, diseñada para ofrecer simplicidad, seguridad y escalabilidad en cualquier nube o entorno. Proporciona conectividad de servicios lista para usar, descubrimiento de servicios, seguridad de confianza cero, fiabilidad del tráfico y observabilidad global para microservicios.

• Modelo: Kong Mesh (basado en Kuma y Envoy)
• Versión: La última versión estable es la 2.12.x, con actualizaciones recientes que incluyen la 2.12.3 y la 2.11.6.
• Fecha de lanzamiento: Kong Mesh 2.0 se lanzó en octubre de 2022. Kong Mesh 2.9 se anunció para mediados de septiembre de 2024. Kong Mesh 2.12 se anunció recientemente.
• Requisitos mínimos:
  • Plano de control: 4 vCPU y 2 GB de memoria para dar cabida a más de 1000 planos de datos.
  • Proxy del plano de datos: Aproximadamente 1 MB de memoria por plano de datos.
  • Contenedor Sidecar de Kubernetes: Solicita 50 millones de CPU y 64 millones de memoria; limita a 1000 millones de CPU y 512 millones de memoria.
• Sistemas operativos compatibles: Compatibilidad universal con Kubernetes y servicios basados en máquinas virtuales. Esto incluye Red Hat OpenShift, Red Hat Enterprise Linux y Amazon ECS.
• Última versión estable: Kong Mesh 2.12.x.
• Fecha de fin de soporte: Kong Mesh sigue una política de soporte de versiones que describe su ciclo de vida desde su lanzamiento hasta su finalización. Las fechas específicas de fin de soporte no se detallan explícitamente en los resultados de búsqueda públicos, pero se rigen por esta política.
• Fecha de fallecimiento: No se detalla explícitamente en los resultados de búsqueda pública.
• Fecha de caducidad de la actualización automática: No se detalla explícitamente en los resultados de búsqueda pública.
• Tipo de licencia: Licencia comercial para empresas. La licencia de demostración preinstalada permite hasta 5 proxies de plano de datos y caduca a los 30 días. Las licencias completas se basan en el número total de proxies de plano de datos conectados y su fecha de caducidad.
• Modelo de despliegue: Puede desplegarse en topologías de una o varias zonas, y admite entornos multi-nube y multi-clúster con modos de plano de control global/remoto. Se ejecuta en Kubernetes, máquinas virtuales y servidores físicos.

Requisitos técnicos

Kong Mesh está diseñado para ofrecer flexibilidad en diversas infraestructuras.

• RAM:
  • Plano de control: Mínimo 2 GB para gestionar más de 1000 planos de datos.
  • Proxy del plano de datos: Aproximadamente 1 MB por plano de datos.
  • Kubernetes Sidecar: Solicitudes 64Mi, límites 512Mi.
• Procesador:
  • Plano de control: Mínimo de 4 vCPU para administrar más de 1000 planos de datos; se beneficia de más CPU para una propagación más rápida de los cambios debido a un excelente paralelismo.
  • Arquitectura: Soporta arquitecturas x86_64 y arm64.
  • Kubernetes Sidecar: Solicita 50 millones de CPU, limita a 1000 millones de CPU.
• Almacenamiento: No se detalla explícitamente, pero requiere almacenamiento persistente para el plano de control, especialmente para configuraciones y actualizaciones de estado, a menudo utilizando una base de datos PostgreSQL.
• Visualización: No aplicable para la funcionalidad principal, pero hay una interfaz web disponible para la gestión.
• Puertos: Los proxies del plano de control y del plano de datos se comunican a través de varios puertos, con cifrado TLS para una comunicación segura.
• Sistema operativo: Kubernetes (cualquier distribución, incluyendo OpenShift), máquinas virtuales (VM) y servidores físicos.

Análisis de los requisitos técnicos

Los requisitos técnicos de Kong Mesh son escalables, lo que permite una implementación eficiente en entornos empresariales de cualquier tamaño. La capacidad del plano de control para gestionar más de 1000 planos de datos con recursos de CPU y memoria moderados destaca su eficiencia. El mínimo consumo de memoria para los proxies de plano de datos (1 MB) y los sidecars de Kubernetes (64 MiB solicitadas) lo hace idóneo para arquitecturas de microservicios donde la optimización de recursos es crucial. La compatibilidad con las arquitecturas x86_64 y arm64 garantiza una amplia compatibilidad con el hardware moderno. El sistema está diseñado para ser flexible y ejecutarse en diversas plataformas, como Kubernetes, máquinas virtuales y servidores físicos, adaptándose así a diversas estrategias de infraestructura.

Soporte y compatibilidad

Kong Mesh ofrece soporte integral y compatibilidad en diversos entornos, y se integra con otros productos Kong.

• Última versión: Kong Mesh 2.12.x.
• Sistemas operativos compatibles: Kubernetes (incluido Red Hat OpenShift), máquinas virtuales y entornos bare metal.
• Fecha de fin de soporte: Se rige por la política de soporte de versiones de Kong Mesh.
• Localización: La documentación está principalmente en inglés, aunque algunas páginas indican que la traducción está en curso (por ejemplo, al japonés).
• Controladores disponibles: Kong Mesh utiliza Envoy como plano de datos, que es altamente compatible con diversos controladores y configuraciones de red. También admite eBPF para la redirección de tráfico, lo que mejora el rendimiento.

Análisis del estado general de soporte y compatibilidad

Kong Mesh ofrece un soporte y compatibilidad excepcionales, especialmente para entornos empresariales. Su base en Kuma y Envoy, dos proyectos de código abierto ampliamente adoptados, garantiza un núcleo robusto y con un mantenimiento óptimo. El soporte universal para Kubernetes y máquinas virtuales, incluyendo integraciones específicas con Red Hat OpenShift y Amazon ECS, lo hace altamente adaptable a diversas estrategias de implementación. Kong proporciona soporte y mantenimiento 24x7 de nivel empresarial para sus productos con licencia. El ciclo de lanzamiento continuo, con versiones como la 2.12.x, demuestra un desarrollo activo y mejoras constantes. Además, se mantiene la compatibilidad con versiones menores anteriores de Envoy.

Estado de seguridad

Kong Mesh prioriza la seguridad de confianza cero para microservicios con un sólido conjunto de características.

• Características de seguridad:
  • Cifrado TLS mutuo (mTLS): gestión automática de certificados, autenticación bidireccional y cifrado de extremo a extremo para todo el tráfico dentro de la malla, de forma transparente para las aplicaciones.
  • Permisos de tráfico: Restringir la comunicación entre servicios.
  • Integración con Open Policy Agent (OPA): Autorización granular de solicitudes de servicio y aplicación de políticas.
  • Control de acceso basado en roles (RBAC): Restringe el acceso a recursos y acciones según los roles de usuario, con capacidades de auditoría.
  • Compatibilidad con FIPS 140-2: Cumplimiento para agencias gubernamentales, implementado a través del modo BoringSSL compatible con FIPS de Envoy.
  • Autenticación multizona: Autenticación segura de los planos de control de zona al plano de control global.
  • Rotación de la autoridad de certificación: Comunicación segura entre aplicaciones con mTLS.
  • Gestión de secretos: Integración con los servicios de gestión de secretos de Hashicorp Vault, AWS y GCP.
  • Política MeshTLS: Configuración granular de los comportamientos de TLS, incluyendo versiones y cifrados, dirigida a servicios específicos.
• Vulnerabilidades conocidas: No se detallan explícitamente en los resultados de búsqueda pública, pero las actualizaciones periódicas y las funciones de seguridad sugieren una gestión activa de las posibles vulnerabilidades.
• Estado en la lista negra: No hay indicación de estado en la lista negra.
• Certificaciones: Cumplimiento con FIPS 140-2. Certificado en el ecosistema Red Hat para imágenes UBI.
• Soporte de cifrado: TLS mutuo (mTLS) para todas las comunicaciones dentro de la malla, TLS para las comunicaciones del plano de control.
• Métodos de autenticación: TLS mutuo, autenticación multizona e integración con proveedores de identidad externos a través de OPA.
• Recomendaciones generales: Implemente principios de confianza cero, aproveche mTLS, permisos de tráfico y políticas OPA para una seguridad robusta de los microservicios. Actualice periódicamente a las últimas versiones para beneficiarse de las mejoras de seguridad.

Análisis de la calificación general de seguridad

Kong Mesh ofrece una sólida postura de seguridad, especialmente para entornos de microservicios empresariales. Su principio de diseño fundamental de seguridad de confianza cero, reforzado mediante mTLS automático, políticas de tráfico e integración con OPA, reduce significativamente la superficie de ataque. La inclusión de compatibilidad con FIPS 140-2 y sólidas capacidades RBAC lo hacen idóneo para industrias altamente reguladas. El desarrollo continuo de funciones de seguridad, como la política MeshTLS granular de la versión 2.9, demuestra un compromiso con la respuesta a las necesidades de seguridad en constante evolución. Si bien no se publican listas de vulnerabilidades específicas, el completo conjunto de medidas de seguridad y las actualizaciones periódicas sugieren un enfoque proactivo para mantener una plataforma segura.

Rendimiento y puntos de referencia

Kong Mesh está diseñado para ofrecer rendimiento y escalabilidad, aprovechando la arquitectura de Envoy y Kuma.

• Puntuaciones de referencia: Si bien las puntuaciones de referencia específicas de Kong Mesh no se detallan exhaustivamente en los resultados de búsqueda públicos, sus componentes subyacentes (Kuma y Envoy) son conocidos por su alto rendimiento. Kong Gateway, que se integra con Kong Mesh, ha publicado resultados de rendimiento que muestran un rendimiento sólido hasta el percentil 99, aunque la latencia puede aumentar considerablemente en percentiles más altos en comparación con alternativas como NGINX.
• Métricas de rendimiento en el mundo real:
  • Plano de control: Un plano de control con 4 vCPU y 2 GB de memoria puede gestionar más de 1000 planos de datos.
  • Proxy del plano de datos: Aproximadamente 1 MB de memoria por plano de datos.
  • Latencia: Kong Mesh 2.0 introdujo compatibilidad con eBPF, lo que resultó en una mejora de latencia de hasta un 12 % para el rendimiento del sidecar.
  • Escalabilidad: Diseñado para escalar horizontalmente para numerosos planos de datos y admitir múltiples clústeres o mallas de servicio híbridas.
• Consumo de energía: No se detalla explícitamente, pero la utilización eficiente de los recursos (baja memoria por plano de datos, uso optimizado de la CPU para el plano de control) sugiere un enfoque en la eficiencia operativa.
• Huella de carbono: No se detalla explícitamente.
• Comparación con activos similares:
  • A menudo se compara con otras soluciones de malla de servicios como VMware Tanzu Platform, HAProxy, Red Hat OpenShift Service Mesh, NGINX Service Mesh y Linkerd.
  • Los usuarios valoran mejor a Kong Mesh que a NGINX Service Mesh (Legacy) y Linkerd en cuanto a servicio y soporte, y consideran que su integración e implementación son más sencillas que las de Linkerd.
  • Algunos usuarios consideran que otras mallas de servicio como Istio son demasiado complejas, mientras que Kuma (la base de Kong Mesh) les parece más sencilla.

Análisis del estado general del desempeño

Kong Mesh está diseñado para ofrecer alto rendimiento y escalabilidad en entornos de microservicios. Su arquitectura, basada en Envoy y Kuma, está optimizada para una gestión eficiente del tráfico y una baja latencia. La capacidad del plano de control para gestionar un gran número de planos de datos con recursos relativamente modestos, junto con el bajo consumo de memoria de los proxies de cada plano de datos, subraya su eficiencia. Las mejoras de rendimiento, como la compatibilidad con eBPF, reducen aún más la latencia. Si bien no se dispone fácilmente de comparativas directas con todos los competidores, los comentarios de los usuarios y las comparaciones con otras mallas de servicios sugieren una posición favorable en cuanto a facilidad de uso e integración, lo que contribuye indirectamente al rendimiento operativo. Las opciones de ajuste del rendimiento, como la optimización de las conexiones de bases de datos y la configuración de los servicios accesibles, permiten una mayor personalización para satisfacer las demandas específicas de las cargas de trabajo.

Reseñas y comentarios de los usuarios

Las reseñas de los usuarios resaltan las fortalezas de Kong Mesh en cuanto a funciones empresariales, seguridad y escalabilidad, al tiempo que señalan áreas de mejora en la documentación y la complejidad inicial.

• Fortalezas:
  • Funcionalidad y soporte de nivel empresarial para Kubernetes y máquinas virtuales en cualquier nube.
  • Basado en proyectos de código abierto ampliamente utilizados (Envoy y Kuma).
  • Facilidad de comprensión, seguridad y buen rendimiento mediante balanceador de carga.
  • Integración perfecta con Kong Enterprise para una plataforma de conectividad de pila completa.
  • Funcionalidades robustas como control de tráfico granular, herramientas de observabilidad y mecanismos de seguridad integrales (autenticación, cifrado).
  • Soporte multizona y multimalla para despliegues distribuidos.
  • Simplifica la gestión de microservicios, mejora la seguridad, aumenta el rendimiento y garantiza una comunicación fluida.
  • Fácil de instalar, configurar y administrar.
• Debilidades:
  • La implementación de una malla de servicios puede ser compleja al principio.
  • Deseo de contar con más ejemplos y tutoriales en la documentación oficial.
  • La interfaz gráfica de usuario podría beneficiarse de más opciones de personalización y filtrado.
  • La configuración inicial puede resultar complicada, especialmente al integrarla con herramientas de automatización existentes como Helm en lugar de la CLI de Kuma.
  • Las actualizaciones pueden ser complicadas y la documentación a veces es deficiente.
  • Generar certificados para TLS puede resultar complicado de configurar.
• Casos de uso recomendados:
  • Establecer la comunicación entre servicios en arquitecturas de microservicios.
  • Organizaciones que buscan una implementación de malla de servicios optimizada con características robustas.
  • Empresas centradas en la seguridad de confianza cero y el cumplimiento del RGPD.
  • Implementación de una malla de servicios distribuida en Kubernetes y máquinas virtuales en cualquier entorno.
  • Modernizar el enfoque de los desarrolladores para que se centren en resolver los problemas de los clientes logrando una alta disponibilidad y seguridad integral.

Resumen

Kong Mesh es una potente solución de malla de servicios de nivel empresarial, basada en las sólidas plataformas Kuma y Envoy de la CNCF. Destaca por proporcionar una plataforma unificada para la gestión de microservicios en diversos entornos, como Kubernetes, máquinas virtuales y servidores físicos, y admite implementaciones tanto en una sola zona como en múltiples zonas. Sus puntos fuertes radican en sus completas funciones de seguridad, en particular sus capacidades nativas de confianza cero con cifrado mTLS automático, permisos de tráfico granulares y una profunda integración con Open Policy Agent (OPA) para una autorización precisa. La plataforma también ofrece una gran observabilidad, fiabilidad del tráfico y escalabilidad, con un plano de control capaz de gestionar eficientemente un gran número de planos de datos. Los usuarios valoran su soporte de nivel empresarial y la perfecta integración con otros productos de Kong, conformando una plataforma de conectividad integral.

Sin embargo, Kong Mesh presenta algunos desafíos. La configuración e implementación iniciales pueden ser complejas, y los usuarios han expresado su deseo de contar con tutoriales y documentación más completos, especialmente en lo que respecta a casos de uso avanzados y la integración con flujos de trabajo de automatización existentes. Si bien su rendimiento suele ser sólido, no siempre se dispone fácilmente de pruebas de rendimiento específicas y detalladas, y algunos usuarios han reportado dificultades con las actualizaciones y la gestión de certificados TLS.

En resumen, Kong Mesh es altamente recomendable para organizaciones empresariales que buscan una malla de servicios segura, escalable y con múltiples funcionalidades para gestionar arquitecturas de microservicios complejas. Su seguridad, amplia compatibilidad y soporte empresarial la convierten en una opción sólida para aplicaciones críticas. Las organizaciones deben estar preparadas para una curva de aprendizaje durante la implementación inicial y aprovechar los recursos de soporte de Kong para superar las complejidades. Se recomienda la consulta continua de la documentación oficial y los foros de la comunidad para optimizar la implementación y las operaciones.

La información proporcionada se basa en datos de dominio público y puede variar según la configuración específica del dispositivo. Para obtener información actualizada, consulte los recursos oficiales del fabricante.