مشكلة Sidecar التي يحلها Ambient Mode
أصبحت شبكات الخدمات الحل المعياري للتشفير المتبادل TLS وإدارة الحركة والمراقبة في مجموعات Kubernetes لأنها حلت مشاكل حقيقية. المشكلة تكمن في كيفية حلها: بحقن وكيل Envoy جانبي في كل كبسولة في المجموعة.
بنية sidecar لكل كبسولة تمتلك تكلفة عبء خطية. في مجموعة تُشغّل 500 كبسولة، هذا يعني 500 عملية Envoy تستهلك الذاكرة ووحدة المعالجة المركزية. تُظهر معايير النشر في بيئات الإنتاج أن وضع sidecar يفرض عبئاً كبيراً على الموارد: كل وكيل Envoy يستهلك 50-200 ميغابايت من الذاكرة. على نطاق المجموعة، يصبح العبء الجانبي القيد الأساسي على كثافة الكبسولات، ولا سيما على عُقد GPU حيث يتنافس كل جيجابايت من ذاكرة النظام مع تخصيص ذاكرة GPU لاستنتاج نماذج الذكاء الاصطناعي.
يُزيل Istio Ambient Mode الـ sidecar لكل كبسولة باستبداله بمكوّن مشترك على مستوى العُقدة يسمى ztunnel (النفق ذو الثقة الصفرية)، الذي يتعامل مع تشفير الطبقة 4 (mTLS) لجميع الكبسولات على العُقدة، ووكلاء waypoint اختياريين لكل مساحة أسماء لميزات الطبقة 7 (توجيه HTTP، سياسات التفويض، المراقبة) مُفعَّلة فقط عند الحاجة.
أعلنت Istio الإصدار v1.24 في نوفمبر 2024 عن التوافر العام للـ ambient mode — بعد 26 شهراً من ظهور المفهوم في سبتمبر 2022. تجاوزت صورة Docker لـ ztunnel مليون تنزيل إجمالي مع حوالي 63,000 سحب أسبوعي عند إعلان التوافر العام.
ما تعنيه أرقام الأداء عملياً
يُقدم تحليل معايير ambient mode على dev.to أكثر بيانات الأداء المتاحة تحديداً:
- كمون P90: تخفيض بنسبة 74٪ مقارنةً بوضع sidecar (0.63 ملي ثانية → 0.16 ملي ثانية)
- كمون P99: تخفيض بنسبة 77٪ (0.88 ملي ثانية → 0.20 ملي ثانية)
- قفزات وكيل L7: تخفيض بنسبة 50٪ (2 قفزات → 1 waypoint)
- تخفيض الذاكرة: حوالي 70٪ مقارنةً بنشر sidecar
- أداء ztunnel: تحسين بنسبة 75٪ عبر الإصدارات الأربعة الأخيرة
بالنسبة لأحمال عمل الذكاء الاصطناعي تحديداً، يُعدّ تخفيض الذاكرة الرقم الأكثر أهمية تشغيلياً. عُقد GPU مكلفة ومحدودة الذاكرة — عُقدة تمتلك 80 جيجابايت من ذاكرة GPU عادةً ما تمتلك 128-256 جيجابايت من ذاكرة النظام التي يجب أن تستوعب نموذج الذكاء الاصطناعي ووقت التشغيل والملحقات الجانبية. إزالة عبء sidecar على عُقد GPU يزيد مباشرةً عدد نسخ النماذج أو سياقات الاستنتاج التي يمكن تغليفها على عُقدة واحدة.
يُشير تقرير InfoQ لأبريل 2026 إلى أن دعم multicluster الاستوائي دخل مرحلة بيتا في أبريل 2026، مُمكّناً إدارة الحركة والأمان والمراقبة “عبر مجموعات متعددة” في مناطق أو مزودي سحابة مختلفين دون عبء sidecar لكل كبسولة. 66٪ من المؤسسات تُشغّل أحمال ذكاء اصطناعي على Kubernetes، لكن 7٪ فقط تحقق وتيرة نشر يومية.
إعلان
ما يجب على فرق هندسة المنصات فعله
1. مراجعة ضريبة ذاكرة sidecar في مجموعتك قبل اتخاذ قرار الترحيل
حالة الأعمال للترحيل نحو ambient mode تبدأ بتحديد كمية عبء sidecar الحالي على مجموعتك المحددة. شغّل kubectl top pods لقياس استهلاك ذاكرة حاويات Envoy sidecar عبر جميع مساحات الأسماء. اضربها في عدد نسخ الكبسولات. في المجموعات التي تضم 200-500 كبسولة، تتراوح ضريبة ذاكرة sidecar الإجمالية عادةً بين 10 و100 جيجابايت — كافية لتشغيل 2-4 نسخ استنتاج إضافية على عُقد GPU. قارن تكلفة هندسة الترحيل (1-3 سباقات لمجموعة متوسطة الحجم) بوفورات تكلفة الحوسبة على 12 شهراً.
2. ترحيل الطبقة 4 أولاً، الطبقة 7 اختياري
الفصل المعماري في ambient mode للطبقة 4 (ztunnel، mTLS) عن الطبقة 7 (waypoint proxies، توجيه HTTP) يُمكّن الترحيل التدريجي دون تراجع في الوظائف. ابدأ بتمكين ambient mode لمساحة أسماء، مما يُزيل فوراً ملحقات Envoy الجانبية لكل كبسولة ويُفعّل ztunnel لتشفير mTLS لتلك المساحة. في هذه المرحلة تتحقق وفورات الذاكرة الكاملة مع خسارة صفرية في قدرات L7. أضف waypoint proxies فقط لمساحات الأسماء التي تستخدم ميزات L7 بنشاط.
3. إعطاء الأولوية لعُقد GPU في الموجة الأولى للترحيل
مساحة الأسماء الأعلى قيمةً للترحيل أولاً هي تلك التي تحتوي على كبسولات استنتاج الذكاء الاصطناعي على عُقد GPU. ليس فقط لأن وفورات الذاكرة لكل كبسولة أعلى في هذه المساحات، بل لأن الحساسية التشغيلية لتحسينات الكمون أيضاً أعلى. صنّف أحواض عُقد GPU صراحةً وانقل مساحات أسماء الاستنتاج قبل استهداف مساحات الأسماء للتطبيقات العامة.
4. التحقق من صحة بيتا multicluster للبنية التحتية للذكاء الاصطناعي متعدد المناطق
إذا كانت بنيتك التحتية للذكاء الاصطناعي تمتد عبر مجموعات Kubernetes متعددة — نمط شائع لنقاط نهاية الاستنتاج متعددة المناطق أو خطوط أنابيب التدريب عبر السحابة — فإن إصدار بيتا لأبريل 2026 من دعم multicluster الاستوائي يستحق التقييم الآن على مجموعات غير إنتاجية. تُمكّن الميزة إدارة شبكة الخدمات عبر المجموعات دون عبء sidecar لكل كبسولة في أي منها.
الصورة الأكبر
Ambient mesh هو أحد التحولات المتزامنة في منظومة شبكات Kubernetes في 2026 — إلى جانب Gateway API وCNIs المستندة إلى eBPF ونظام امتدادات WASM — التي تُخفض جماعياً العبء التشغيلي لتشغيل أحمال العمل السحابية الأصلية على نطاق الذكاء الاصطناعي. الخيط المشترك في جميعها هو نفسه: افتراض حقبة sidecar بأن أفضل مكان لتطبيق سياسة الشبكة هو داخل الكبسولة يفسح المجال لبنيات التطبيق على مستوى العُقدة والمجموعة التي تفرض عبئاً أقل بكثير لكل حمل عمل.
بالنسبة لفرق هندسة المنصات، الإشارات من المجتمع — 63,000 سحب أسبوعي لـ ztunnel وتصنيف GA في v1.24 — تُشير إلى أن ambient mode هو مسار الإنتاج المقصود لنشرات Kubernetes الجديدة في 2026 وما بعده.
الأسئلة الشائعة
ما هو ztunnel في Istio Ambient Mode وكيف يختلف عن Envoy sidecar؟
Ztunnel (النفق ذو الثقة الصفرية) وكيل خفيف الوزن على مستوى العُقدة يتعامل مع تشفير mTLS للطبقة 4 لجميع الكبسولات على العُقدة دون حقنه في كل كبسولة. على عكس Envoy sidecar — حاوية منفصلة تعمل داخل كل كبسولة تستهلك ذاكرتها الخاصة ووحدة معالجتها المركزية — فإن ztunnel عملية واحدة لكل عُقدة Kubernetes مشتركة بين جميع الكبسولات على تلك العُقدة. هذا يُزيل العبء الخطي للذاكرة في نموذج sidecar ويستبدله بعبء ثابت لكل عُقدة بغض النظر عن عدد الكبسولات التي تعمل عليها.
هل يمكنني الترحيل تدريجياً من وضع Istio sidecar إلى ambient mode دون توقف؟
نعم. يدعم Istio Ambient Mode الترحيل مساحة أسماء بمساحة أسماء — يمكنك وسم مساحات أسماء فردية للانضمام إلى ambient mode بينما تترك مساحات أسماء أخرى في وضع sidecar، ويمكن للوضعين التعايش في نفس المجموعة. التسلسل الموصى به هو ترحيل مساحات أسماء L4 فقط أولاً (تشفير mTLS دون ميزات L7)، والتحقق من الصحة، ثم إضافة waypoint proxies لمساحات الأسماء التي تتطلب ميزات L7.
هل يدعم ambient mode مجموعة ميزات Istio sidecar الكاملة في 2026؟
يدعم ambient mode جميع ميزات L4 (mTLS، توجيه الحركة الأساسي، المراقبة) من مكوّن ztunnel، وميزات L7 (تقسيم الحركة الدقيق لنشر canary، سياسات تفويض JWT، مراقبة طلبات HTTP) عبر waypoint proxies اختيارية. في أبريل 2026، دعم multicluster في مرحلة بيتا. عدد صغير من الميزات المتقدمة في وضع sidecar قد لا تمتلك مكافئات مباشرة في ambient mode.
—
