为何 Envoy 会经常全量推送路由变更，以及如何改善（上）

之前和读者聊到，“现在envoy用来做七层网关，要想达到好用，就差几个关键技术点没解决”：https://x.com/spacewander_lzx/status/1793292249155162207。于是我决定开一个系列，不定期更新，写写 Envoy 目前还做得不够好的地方。

今天先聊聊 Envoy 里面路由配置变更粒度过大的问题。

Envoy 里和路由相关的主要是两种配置：LDS 和 RDS。其中 LDS （listener）控制四层上的配置，如监听哪个端口、TLS 协议相关的参数等；RDS（route）控制 HTTP 层面上的路由配置。LDS 是 RDS 的根，即每个 LDS 是多个 RDS 的上级节点。

以下面的 k8s Gateway API 的 Gateway 资源为例：
（在下面的配置里和示例无关的部分以省略号代替。不同的控制面在翻译 Gateway API 资源到 Envoy 的 xDS 在细节上有所不同，此处使用的是 istio）

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: gateway
  namespace: default
spec:
  gatewayClassName: istio
  listeners:
  - name: http
    hostname: "*.exp.com"
    port: 80
    protocol: HTTP
  - name: http2
    hostname: "*.test.com"
    port: 80
    protocol: HTTP
  - name: https
    hostname: "*.exp.com"
    port: 443
    protocol: HTTPS
    tls:
      certificateRefs:
      - group: ""
        kind: Secret
        name: cert
      mode: Terminate
  - name: https2
    hostname: "*.httpbin.com"
    port: 443
    protocol: HTTPS
    tls:
      certificateRefs:
      - group: ""
        kind: Secret
        name: cert
      mode: Terminate

其对应 80 端口和 443 端口两个 LDS，具体配置为：

- accessLog:
  - filter:
      responseFlagFilter:
        flags:
        - NR
    name: envoy.access_loggers.file
    typedConfig:
      '@type': type.googleapis.com/envoy.extensions.access_loggers.file.v3.FileAccessLog
      logFormat:
        textFormatSource:
          inlineString: |
            [%START_TIME%] "%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%" %RESPONSE_CODE% %RESPONSE_FLAGS% %RESPONSE_CODE_DETAILS% %CONNECTION_TERMINATION_DETAILS% "%UPSTREAM_TRANSPORT_FAILURE_REASON%" %BYTES_RECEIVED% %BYTES_SENT% %DURATION% %RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)% "%REQ(X-FORWARDED-FOR)%" "%REQ(USER-AGENT)%" "%REQ(X-REQUEST-ID)%" "%REQ(:AUTHORITY)%" "%UPSTREAM_HOST%" %UPSTREAM_CLUSTER% %UPSTREAM_LOCAL_ADDRESS% %DOWNSTREAM_LOCAL_ADDRESS% %DOWNSTREAM_REMOTE_ADDRESS% %REQUESTED_SERVER_NAME% %ROUTE_NAME%
      path: /dev/stdout
  address:
    socketAddress:
      address: 0.0.0.0
      portValue: 80
  filterChains:
  - filters:
    - name: envoy.filters.network.http_connection_manager
      typedConfig:
        '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
        httpFilters:
        ...
        - name: envoy.filters.http.router
          typedConfig:
            '@type': type.googleapis.com/envoy.extensions.filters.http.router.v3.Router
        httpProtocolOptions: {}
        normalizePath: true
        pathWithEscapedSlashesAction: KEEP_UNCHANGED
        rds:
          configSource:
            ads: {}
            initialFetchTimeout: 0s
            resourceApiVersion: V3
          routeConfigName: http.80
  ...
  listenerFiltersTimeout: 0s
  name: 0.0.0.0:80
  trafficDirection: OUTBOUND
- accessLog:
  - filter:
      responseFlagFilter:
        flags:
        - NR
    name: envoy.access_loggers.file
    typedConfig:
      '@type': type.googleapis.com/envoy.extensions.access_loggers.file.v3.FileAccessLog
      logFormat:
        textFormatSource:
          inlineString: |
            [%START_TIME%] "%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%" %RESPONSE_CODE% %RESPONSE_FLAGS% %RESPONSE_CODE_DETAILS% %CONNECTION_TERMINATION_DETAILS% "%UPSTREAM_TRANSPORT_FAILURE_REASON%" %BYTES_RECEIVED% %BYTES_SENT% %DURATION% %RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)% "%REQ(X-FORWARDED-FOR)%" "%REQ(USER-AGENT)%" "%REQ(X-REQUEST-ID)%" "%REQ(:AUTHORITY)%" "%UPSTREAM_HOST%" %UPSTREAM_CLUSTER% %UPSTREAM_LOCAL_ADDRESS% %DOWNSTREAM_LOCAL_ADDRESS% %DOWNSTREAM_REMOTE_ADDRESS% %REQUESTED_SERVER_NAME% %ROUTE_NAME%
      path: /dev/stdout
  address:
    socketAddress:
      address: 0.0.0.0
      portValue: 443
  filterChains:
  - filterChainMatch:
      serverNames:
      - '*.exp.com'
    filters:
    - name: envoy.filters.network.http_connection_manager
      typedConfig:
        '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
        httpFilters:
        ...
        - name: envoy.filters.http.router
          typedConfig:
            '@type': type.googleapis.com/envoy.extensions.filters.http.router.v3.Router
        httpProtocolOptions: {}
        normalizePath: true
        pathWithEscapedSlashesAction: KEEP_UNCHANGED
        rds:
          configSource:
            ads: {}
            initialFetchTimeout: 0s
            resourceApiVersion: V3
          routeConfigName: https.443.default.gateway-istio-autogenerated-k8s-gateway-https.default
        ...
    transportSocket:
      name: envoy.transport_sockets.tls
      typedConfig:
        '@type': type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
        commonTlsContext:
          alpnProtocols:
          - h2
          - http/1.1
          tlsCertificateSdsSecretConfigs:
          - name: kubernetes-gateway://default/cert
            sdsConfig:
              ads: {}
              resourceApiVersion: V3
        requireClientCertificate: false
  - filterChainMatch:
      serverNames:
      - '*.httpbin.com'
    filters:
    - name: envoy.filters.network.http_connection_manager
      typedConfig:
        '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
        httpFilters:
        ...
        - name: envoy.filters.http.router
          typedConfig:
            '@type': type.googleapis.com/envoy.extensions.filters.http.router.v3.Router
        httpProtocolOptions: {}
        normalizePath: true
        pathWithEscapedSlashesAction: KEEP_UNCHANGED
        rds:
          configSource:
            ads: {}
            initialFetchTimeout: 0s
            resourceApiVersion: V3
          routeConfigName: https.443.default.gateway-istio-autogenerated-k8s-gateway-https2.default
        ...
    transportSocket:
      name: envoy.transport_sockets.tls
      typedConfig:
        '@type': type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
        commonTlsContext:
          alpnProtocols:
          - h2
          - http/1.1
          tlsCertificateSdsSecretConfigs:
          - name: kubernetes-gateway://default/cert
            sdsConfig:
              ads: {}
              resourceApiVersion: V3
        requireClientCertificate: false
  listenerFilters:
  - name: envoy.filters.listener.tls_inspector
    typedConfig:
      '@type': type.googleapis.com/envoy.extensions.filters.listener.tls_inspector.v3.TlsInspector
  listenerFiltersTimeout: 0s
  name: 0.0.0.0:443
  trafficDirection: OUTBOUND

K8S Gateway API 规定，一个 Gateway 会有多个 listener，每个 listener 的名字是唯一的。当协议为 HTTPS 时，listener 的 hostname 作为 TLS 的 Servername 进行匹配。我们可以看到，同一个 Gateway 资源的同一个端口（443）上的多个 listener 被翻译成一个 LDS。一个 LDS 里会有多个 filterChains，数目和对应的 listener 一致。每个 filterChain match 一个给定的 Servername，即 listener 里面的 hostname。每个 filterChain 里都有自己的 http_connection_manager（以下简称 HCM）。HCM 里有个 rds 的字段，指定了对应的 RDS，如下：

        rds:
          configSource:
            ads: {}
            initialFetchTimeout: 0s
            resourceApiVersion: V3
          routeConfigName: https.443.default.gateway-istio-autogenerated-k8s-gateway-https.default
        ...
        rds:
          configSource:
            ads: {}
            initialFetchTimeout: 0s
            resourceApiVersion: V3
          routeConfigName: https.443.default.gateway-istio-autogenerated-k8s-gateway-https2.default

routeConfigName 里面包含了原始的 listener 的 name。

而对于不存在 Servername 进行区分的 HTTP 协议端口上的 LDS，只会有一个 filterChain，也即只有一个 HCM，最终也只有一个 RDS 资源：

        rds:
          configSource:
            ads: {}
            initialFetchTimeout: 0s
            resourceApiVersion: V3
          routeConfigName: http.80

由于在 LDS 上不再区分 listener，所以 HTTP 80 端口上的这个 RDS 名称中只是放了协议和端口信息。

接下来让我们拍一个 HTTPRoute，看看对应的 RDS 配置：

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http
  namespace: default
spec:
  parentRefs:
  - name: gateway
    namespace: default
  hostnames: ["httpbin.exp.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http2
  namespace: default
spec:
  parentRefs:
  - name: gateway
    namespace: default
  hostnames: ["httpbin.test.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000

RDS 配置如下：

80 端口上的 RDS

- ignorePortInHostMatching: true
  maxDirectResponseBodySizeBytes: 1048576
  name: http.80
  validateClusters: false
  virtualHosts:
  - domains:
    - httpbin.exp.com
    includeRequestAttemptCount: true
    name: httpbin.exp.com:80
    routes:
    - decorator:
        operation: httpbin.default.svc.cluster.local:8000/*
      match:
        caseSensitive: true
        pathSeparatedPrefix: /get
      metadata:
        filterMetadata:
          istio:
            config: /apis/networking.istio.io/v1alpha3/namespaces/default/virtual-service/http-0-istio-autogenerated-k8s-gateway
      name: default.http.0
      route:
        cluster: outbound|8000||httpbin.default.svc.cluster.local
        clusterNotFoundResponseCode: INTERNAL_SERVER_ERROR
        maxGrpcTimeout: 0s
        retryPolicy:
          hostSelectionRetryMaxAttempts: "5"
          numRetries: 2
          retriableStatusCodes:
          - 503
          retryHostPredicate:
          - name: envoy.retry_host_predicates.previous_hosts
            typedConfig:
              '@type': type.googleapis.com/envoy.extensions.retry.host.previous_hosts.v3.PreviousHostsPredicate
          retryOn: connect-failure,refused-stream,unavailable,cancelled,retriable-status-codes
        timeout: 0s
  - domains:
    - httpbin.test.com
    includeRequestAttemptCount: true
    name: httpbin.test.com:80
    routes:
    - decorator:
        operation: httpbin.default.svc.cluster.local:8000/*
      match:
        caseSensitive: true
        pathSeparatedPrefix: /get
      metadata:
        filterMetadata:
          istio:
            config: /apis/networking.istio.io/v1alpha3/namespaces/default/virtual-service/http2-0-istio-autogenerated-k8s-gateway
      name: default.http2.0
      route:
        cluster: outbound|8000||httpbin.default.svc.cluster.local
        clusterNotFoundResponseCode: INTERNAL_SERVER_ERROR
        maxGrpcTimeout: 0s
        retryPolicy:
          hostSelectionRetryMaxAttempts: "5"
          numRetries: 2
          retriableStatusCodes:
          - 503
          retryHostPredicate:
          - name: envoy.retry_host_predicates.previous_hosts
            typedConfig:
              '@type': type.googleapis.com/envoy.extensions.retry.host.previous_hosts.v3.PreviousHostsPredicate
          retryOn: connect-failure,refused-stream,unavailable,cancelled,retriable-status-codes
        timeout: 0s

443 端口，*.exp.com 上的 RDS

- ignorePortInHostMatching: true
  maxDirectResponseBodySizeBytes: 1048576
  name: https.443.default.gateway-istio-autogenerated-k8s-gateway-https.default
  validateClusters: false
  virtualHosts:
  - domains:
    - httpbin.exp.com
    includeRequestAttemptCount: true
    name: httpbin.exp.com:443
    routes:
    - decorator:
        operation: httpbin.default.svc.cluster.local:8000/*
      match:
        caseSensitive: true
        pathSeparatedPrefix: /get
      metadata:
        filterMetadata:
          istio:
            config: /apis/networking.istio.io/v1alpha3/namespaces/default/virtual-service/http-0-istio-autogenerated-k8s-gateway
      name: default.http.0
      route:
        cluster: outbound|8000||httpbin.default.svc.cluster.local
        clusterNotFoundResponseCode: INTERNAL_SERVER_ERROR
        maxGrpcTimeout: 0s
        retryPolicy:
          hostSelectionRetryMaxAttempts: "5"
          numRetries: 2
          retriableStatusCodes:
          - 503
          retryHostPredicate:
          - name: envoy.retry_host_predicates.previous_hosts
            typedConfig:
              '@type': type.googleapis.com/envoy.extensions.retry.host.previous_hosts.v3.PreviousHostsPredicate
          retryOn: connect-failure,refused-stream,unavailable,cancelled,retriable-status-codes
        timeout: 0s

443 端口，*.httpbin.com 上的 RDS

- ignorePortInHostMatching: true
  maxDirectResponseBodySizeBytes: 1048576
  name: https.443.default.gateway-istio-autogenerated-k8s-gateway-https2.default
  validateClusters: false
  virtualHosts:
  - domains:
    - '*'
    name: blackhole:443

可以看到每个 RDS 下面有 virtualHosts 字段，里面是一组域名列表。每个域名下面有 routes 字段，里面是一组路径列表。因为我们没有创建 listener https2 对应的 HTTPRoute 资源，所以其对应的 RDS https.443.default.gateway-istio-autogenerated-k8s-gateway-https2.default 只有占位符。而 80 端口上同时有 *.exp.com 和 *.test.com 两个域名通配符，所以其对应的 RDS http.80 下面有两个域名的配置。

总结如下：

  • 每个端口都是一个 LDS。
  • 对于 HTTPS 协议，每个 hostname 使用自己的 filterChain；对于 HTTP 协议，整个端口都用一个 filterChain。
  • 每个 filterChain 有一个 HCM，每个 HCM 有一个 RDS。

顺便一提，虽然 LDS 里面的多个 filterChain、RDS 里面的多个域名和路径，都是以列表的形式配置，但实际上在定位请求命中的路径时，这三处地方匹配方式都不一样。

  • LDS 里面的多个 filterChain：Envoy 会合并多个 filterChain 的匹配条件。以 ServerName 为例，在匹配时会先用 hash 来命中 exact match 的名称，然后每次减掉一个子域名，逐个匹配 wildcard maps。
  • RDS 里面的多个域名：先用 hash 来命中 exact match 的名称，然后由长到短逐个匹配 wildcard
  • 同一个域名下的多个路径：只有这个是严格按配置顺序一一匹配的。除此之外，还支持通过 generic matching API 来进行树形的匹配。以及支持通过 route scope，控制匹配的范围。

细心的读者应该已经发现，RDS 的粒度是每个 HCM 只有一个，这导致了开篇提到的问题。哪怕只是任何一个路径发生了变化，都会导致整个 RDS 需要重新推送。这对整个端口、所有域名上的路由都共享一个 RDS 的 HTTP 协议服务来说更为明显。

在 Envoy 赖以发家的少有 Route 级别配置的 Service Mesh 场景，这并非什么大问题。但一旦想要用 Envoy 来处理南北的网关流量，每次路由配置一变就把全量路由配置重新推送一下，显然是不可接受的。

Envoy 社区并非对此毫无察觉。针对这个问题，不少解法被提了出来。

欲知后事如何，请听下回分解。

你可能感兴趣的:(envoy)

  • 服务网格（Service Mesh）技术在 Agent 系统中的落地实践 观熵 AIAgentservice_meshjava运维人工智能Agent
    服务网格（ServiceMesh）技术在Agent系统中的落地实践关键词：ServiceMesh、Istio、Envoy、Sidecar、智能体系统、微服务通信、链路治理、零信任网络、策略控制、流量调度、Agent调用链摘要：在企业级智能体系统中，Agent模块间存在高频调用、跨模块协同、状态更新、回调修复等复杂链路。传统SDK驱动的通信机制在应对服务拓扑变化、权限控制、多租户隔离与流量治理时存在
  • 代理服务器选型与性能对比（Nginx vs Pingora vs Envoy vs HAProxy） 中国lanwp nginx运维
    代理服务器选型与性能对比（NginxvsPingoravsEnvoyvsHAProxy）代理服务器在现代架构中承担着负载均衡、反向代理、缓存、安全防护等关键任务。本文详细对比Nginx、Pingora、Envoy和HAProxy，从性能、架构、适用场景等方面进行分析，帮助选型。1.主流代理服务器概览代理服务器开发语言主要维护方开源情况主要用途NginxCF5/社区开源(部分企业版)Web服务器、反
  • Pingora vs. Nginx vs. 其他主流代理服务器性能对比 中国lanwp nginx运维
    Pingoravs.Nginxvs.其他主流代理服务器性能对比核心对比概览特性Pingora(Cloudflare)NginxEnvoyHAProxyCaddyTraefik开发公司CloudflareNginx,Inc/F5Lyft/CNCFHAProxyTechApache2.0社区Containous核心语言RustCC++CGoGo并发模型异步/多线程事件驱动事件驱动事件驱动协程协程HTT
  • （11）Service Mesh架构下Java应用实现零信任安全模型 真实的菜 javajava
    ServiceMesh架构下Java应用实现零信任安全模型TL;DR:本文详细介绍如何在ServiceMesh架构中实现零信任安全模型，包括身份认证、授权控制、加密通信和持续监控四大核心技术，以及与Istio、Envoy等组件的集成方案。目录零信任安全模型概述关键技术实现最佳实践ServiceMesh组件集成总结零信任安全模型概述永不信任，始终验证零信任安全模型摒弃了传统的基于网络边界的安全思想，
  • 云原生环境下 Kubernetes 的服务网格搭建 AI云原生与云计算技术学院 CS云原生kubernetes容器ai
    云原生环境下Kubernetes的服务网格搭建关键词：云原生、Kubernetes、服务网格、Istio、Envoy摘要：本文聚焦于云原生环境下Kubernetes的服务网格搭建。首先介绍了云原生和Kubernetes的背景知识，明确服务网格在其中的重要性和意义。接着深入阐述了服务网格的核心概念、架构以及工作原理，通过Mermaid流程图和文本示意图进行清晰展示。详细讲解了核心算法原理，并给出Py
  • Istio what_2018 devops网络协议运维
    Istio介绍Istio是一个开源的服务网格（ServiceMesh）平台，旨在为微服务架构提供统一的管理和控制。它通过透明的代理层（通常是Envoy）来实现流量管理、安全性和可观测性，而无需修改应用程序代码。Istio的核心功能包括流量控制、服务间通信的安全性、监控和追踪等。Istio知识体系Istio的知识体系涵盖了多个方面，包括其架构、核心组件、配置方式以及与其他工具的集成。主要组件包括：E
  • 理解 Envoy 的架构 欧先生^_^ 架构
    理解Envoy的架构对于深入理解Istio至关重要，因为Envoy是Istio数据平面的核心。Envoy是一个高性能的C++分布式代理，设计为云原生应用和大规模微服务架构的网络基础。以下是Envoy架构的关键组成部分和核心理念：核心设计理念：进程外架构(Out-of-Process):Envoy作为独立的代理进程运行，与应用程序进程解耦。这使得它可以为任何语言编写的应用程序提供通用的网络功能。高性
  • 深入理解 Istio 的工作原理 v1.26.0 欧先生^_^ istio云原生
    解读最新版本的Istio源码确实是一项庞大的工程，但我可以为你梳理出一个清晰的脉络，并指出关键模块和代码路径，帮助你深入理解Istio的工作原理。我们主要关注Istio的核心组件Istiod和数据平面的EnvoyProxy。前提：Go语言基础：Istiod主要用Go编写。Kubernetes基础：Istio深度集成Kubernetes。EnvoyProxy基础：了解Listener,Filter,
  • 在 Envoy 的配置文件中出现的 “@type“ 字段 欧先生^_^ 云原生
    在Envoy的配置文件中出现的"@type"字段是ProtocolBuffers（Protobuf）的JSON/YAML编码规范的一部分，属于TypedStruct的表示方式。它的作用是明确指定当前配置对象的Protobuf类型，以便Envoy正确解析配置。以下是详细解释：1.背景：Envoy的配置底层基于ProtobufEnvoy的所有配置（包括监听器、路由、集群等）在底层都是通过Protoco
  • C++:智能指针unique_ptr与vector；shared_ptr与vector mzhan017 c/c++c++开发语言后端
    文章目录shared_ptr_Sp_counted_baseadd错误分析如果要看汇编。call__GI___libc_freeenvoyunique_ptrmake_unique(ChatGPT)shared_ptrgcc-11.1.0/libstdc+±v3/doc/html/manual/api.htmlC++11supportcompleted(movableiostreams,newI/
  • Azure Service Fabric Mesh：一个构建任务关键型微服务的平台 dotNET跨平台
    本文要点AzureServiceFabricMesh（目前处于预览阶段）是一个完全托管的服务，它使你可以使用“无服务器”方法构建、部署和管理由运行在容器中的多语言服务组成的应用程序。AzureServiceFabricMesh通过使用EnvoyProxy构建的软件定义网络（SDN）功能提供了智能消息路由，使得服务发现和微服务之间的路由成为可能。AzureServiceFabric有三项公共服务：S
  • Java面试高频问题（31-33） 风铃儿~ 面试java算法
    三十一、服务网格：东西向流量治理与故障注入服务网格架构分层mermaidgraphBTsubgraphControlPlaneAPilot-->BEnvoySidecarCMixer-->BDCitadel-->BendsubgraphDataPlaneB-->E服务AB-->F服务BB-->G服务Cend核心能力矩阵功能维度Istio实现方案Linkerd方案技术选型点流量路由VirtualSe
  • 利用 EnvoyPatchPolicy 拓展 Envoy Gateway 的能力 weixin_38754564 gateway
    注意：本文基于EnvoyGatewayv1.3.2。EnvoyGateway构建在EnvoyProxy之上，提供了一套丰富的功能。然而，在某些情况下，你可能希望使用EnvoyProxy的一些功能，而这些功能并未通过EnvoyGateway的API暴露出来。这时就可以使用从EnvoyGatewayv0.5.0引入的EnvoyPatchPolicyAPI[1]。它允许你自定义EnvoyGateway生
  • Higress：云原生API网关实战指南 吴彬心Quenna
    Higress：云原生API网关实战指南项目地址:https://gitcode.com/gh_mirrors/hi/higress项目介绍Higress，源自阿里巴巴内部的EnvoyGateway实践，是一款基于开源Istio与Envoy构建的云原生API网关。它设计实现了安全防护、流量管理和微服务治理的综合解决方案，旨在简化部署和运维过程，提供高性能的服务治理体验。Higress集成了丰富的功
  • 云原生四重涅槃·破镜篇：混沌工程证道心，九阳真火锻金身 程序猿chen 【后端修炼·九阳真经】云原生pythonjavagit后端程序人生开发语言
    【乾坤惊变·混沌劫起】"轰——！"龙渊山巅突然雷云翻滚，九重天外传来梵音轰鸣。监察使手中玄光镜剧烈震颤，镜中映出骇人景象：原本井然有序的ServiceMesh星轨竟自行扭曲，数十万Envoy边车化身血色修罗，Pod金丹爆裂如烟花绽放！"报——混沌劫气侵入护山大阵！"八百弟子口吐黑血，本命法器接连黯淡。龙渊剑主剑指苍天，背后《九阳真经》残卷迸射金光："诸天浩劫，非生死历练不可破！今传尔等混沌工程无上
  • istio 介绍-01-一个用于连接、管理和保护微服务的开放平台 概览 老马啸西风 sofaistio微服务云原生
    istioistio一个用于连接、管理和保护微服务的开放平台。介绍Istio是一个开放平台，用于提供统一的方式来集成微服务、管理跨微服务的流量、执行策略和聚合遥测数据。Istio的控制平面在底层集群管理平台（例如Kubernetes）上提供了一个抽象层。Istio由以下组件组成：Envoy-每个微服务的Sidecar代理，用于处理集群中服务之间以及从服务到外部服务的入口/出口流量。这些代理形成了一
  • istio 介绍-01-一个用于连接、管理和保护微服务的开放平台 概览 后端java
    istioistio一个用于连接、管理和保护微服务的开放平台。介绍Istio是一个开放平台，用于提供统一的方式来集成微服务、管理跨微服务的流量、执行策略和聚合遥测数据。Istio的控制平面在底层集群管理平台（例如Kubernetes）上提供了一个抽象层。Istio由以下组件组成：Envoy-每个微服务的Sidecar代理，用于处理集群中服务之间以及从服务到外部服务的入口/出口流量。这些代理形成了一
  • 云原生服务网格：微服务通信的智能中 桂月二二 云原生微服务架构
    引言：微服务通信的范式迁移Istio日均管理3000亿服务请求，LinkedIn通过服务网格降低40%网络延迟。阿里巴巴双十一流量洪峰时，MOSN支撑百万级TPS跨集群通信。GoogleAnthos实现跨云服务治理统一，Envoy代理处理Cilium的eBPF加速提升70%吞吐。CNCF调查显示78%企业采用服务网格，华为云ASM支持万级服务自动拓扑发现，AWSAppMesh延迟优化至亚毫秒级。一
  • MoE 系列（四）｜Go 扩展的异步模式 云原生网关goenvoy开发者
    在《MoE系列（三）｜使用Istio动态更新Go扩展配置》中我们体验了用Istio做控制面，给Go扩展推送配置，这次我们来体验一下，在Go扩展的异步模式下，对Goroutine等全部Go特性的支持。异步模式之前，我们实现了一个简单的BasicAuth[1]，但是，那个实现是同步的，也就是说，Go扩展会阻塞，直到BasicAuth验证完成，才会返回给Envoy。因为BasicAuth是一个非常简单的
  • 服务网格架构深度解析：构建智能的云原生网络平面 桂月二二 网络架构云原生
    引言：重新定义微服务通信范式Lyft实施Envoy服务网格后，跨集群请求延迟下降60%，全局超时失败率从8%降至0.1%。Booking.com在20,000+微服务中部署Istio，配置下发速度提升300倍，跨语言流量管理统一率100%。CNCF报告显示，2023年全球服务网格部署规模突破500万节点，流量可观测性水平提升至纳米级粒度。一、服务网格演进全景图1.1微服务通信模式对比技术维度传统S
  • 红队视角出发的k8s敏感信息收集——Kubernetes API 扩展与未授权访问 周周的奇妙编程 kubernetes容器云原生
    针对Kubernetes第三方组件与Operator的详细攻击视角分析，涵盖ServiceMesh、HelmReleases和DatabaseOperators的潜在风险及利用方法。攻击链示例1.攻击者通过未授权的Tiller服务部署恶意HelmChart→2.创建后门Pod并横向移动至Istio控制平面→3.提取Envoy配置发现未加密的数据库服务→4.通过MySQLOperator创建管理员账
  • k8s1.27.7部署higress，代理非k8s集群业务 石头-豆豆 Linux运维k8skubernetes容器云原生higress
    一、简介Higress是基于阿里内部的EnvoyGateway实践沉淀、以开源Istio+Envoy为核心构建的云原生API网关，实现了流量网关+微服务网关+安全网关三合一的高集成能力，深度集成Dubbo、Nacos、Sentinel等微服务技术栈，能够帮助用户极大的降低网关的部署及运维成本且能力不打折；在标准上全面支持Ingress与GatewayAPI，积极拥抱云原生下的标准API规范；同时，
  • 微服务中服务治理都包含什么 zhglhy 微服务架构云原生
    在微服务架构中，服务治理是确保系统稳定、高效运行的关键，主要包括以下几个方面：1.服务发现功能：服务实例启动时注册自己，关闭时注销，客户端通过服务发现机制找到可用实例。工具：常用工具包括Consul、Eureka、Zookeeper等。2.负载均衡功能：将请求分配到多个服务实例，避免单点过载。策略：常见策略有轮询、随机、加权轮询等。工具：Ribbon、Nginx、Envoy等。3.服务容错功能：处
  • 【云原生网关】Higress 从部署到使用详解 小码农叔叔 网关与限流术linux与容器实战docker搭建HigressHigress搭建docker部署HigressHigress使用详解Higress使用docker搭建higress
    目录二、网关概述2.1什么是云原生网关2.2常见的云原生网关2.2.1Nginx2.2.2ApiSix2.2.3Kong2.2.4ApacheShenyu2.2.5Higress2.2.6Envoy三、higress介绍3.1什么是higress3.2Higress定位3.3Higress内核选择四、Higress搭建过程4.1higress常用部署模式4.2环境准备4.3docker部署higr
  • Envoy Golang Filter 实践：挑战与应对之道 envoy
    有经验的程序员都知道，技术选型是一个trade-off的过程。当你选择玫瑰时，小心花朵下面的尖刺。进一步想，如果我们早已知晓鲜花底下的不怀好意的锋芒，就能在摘花时借助剪刀，避免赤手空拳地冒险。这也是本文的主题：应用EnvoyGolangfilter过程中的挑战以及如何应对它们。先用简单一句话介绍EnvoyGolangfilter。它在Envoy中运行Go编译出来的so库，支持编写在原生Gorunt
  • 为什么选择 HTNN 这款网络产品？ envoy
    我们（蚂蚁网络基础设施团队）推出了一款新的网络产品，基于Istio和Envoy开发：https://github.com/mosn/htnn。基于Envoy的网关多如繁星，HTNN这个新轮子优势在哪？推广一个开源项目其实就是推广一种理念。几年前APISIX在推广时，主打的是更好的性能。HTNN主打的也是“快”，但不仅仅是数据面执行性能之快，更主要的是研发效率之快。无论是什么时候，又快又好地推出新功
  • 为何 Envoy 会经常全量推送路由变更，以及如何改善（上） envoy
    之前和读者聊到，“现在envoy用来做七层网关，要想达到好用，就差几个关键技术点没解决”：https://x.com/spacewander_lzx/status/1793292249155162207。于是我决定开一个系列，不定期更新，写写Envoy目前还做得不够好的地方。今天先聊聊Envoy里面路由配置变更粒度过大的问题。Envoy里和路由相关的主要是两种配置：LDS和RDS。其中LDS（li
  • y98.第六章 微服务、服务网格及Envoy实战 -- 集群管理(九) Raymond运维 云原生-微服务治理企业实战(已完结)microservicesenvoy运维云计算云原生
    8.集群管理8.0本节话题集群管理器与服务发现机制主动健康状态检测与异常点探测负载均衡策略分布式负载均衡负载均衡算法：加权轮询、加权最少连接、环哈希、磁悬浮和随机等；区域感知路由全局负载均衡位置优先级位置权重均衡器子集熔断和连接池8.1集群管理器（ClusterManager）Envoy支持同时配置任意数量的上游集群，并基于ClusterManager管理它们；ClusterManager负责为集
  • 云原生周刊：Prometheus 3.0 Beta 发布｜2024.09.16 KubeSphere 云原生 k8s容器平台kubesphere云计算
    开源项目推荐KumaKuma是一个现代化的基于Envoy的服务网格，能够在每个云平台上运行，支持单区域或多区域部署，兼容Kubernetes和虚拟机。凭借其广泛的通用工作负载支持，以及对Envoy数据平面代理技术的原生支持（但无需Envoy专业知识），Kuma提供了现代化的L4-L7服务连接、发现、安全、可观察性、路由等功能，适用于任何平台上的任何服务，包括数据库。TopoLVMTopoLVM是一
  • Envoy 开启 HTTP2 后偶现 404 如何解决？ 云原生
    问题背景在大部分基于Envoy实现的网关里，都存在这样一个问题，当开启http2时，客户端访问会出现偶发的404，并且可以从日志注意到这些404的请求，:authority头里的域名和SNI里的域名不一致。且在使用泛域名证书，且配置了多个域名的路由的情况下，这个问题特别容易出现。问题相关的社区issue：https://github.com/envoyproxy/envoy/issues/6767
  • java杨辉三角 3213213333332132 java基础
    package com.algorithm; /** * @Description 杨辉三角 * @author FuJianyong * 2015-1-22上午10:10:59 */ public class YangHui { public static void main(String[] args) { //初始化二维数组长度 int[][] y
  • 《大话重构》之大布局的辛酸历史 白糖_ 重构
    《大话重构》中提到“大布局你伤不起”，如果企图重构一个陈旧的大型系统是有非常大的风险，重构不是想象中那么简单。我目前所在公司正好对产品做了一次“大布局重构”，下面我就分享这个“大布局”项目经验给大家。   背景         公司专注于企业级管理产品软件，企业有大中小之分，在2000年初公司用JSP/Servlet开发了一套针对中
  • 电驴链接在线视频播放源码 dubinwei 源码电驴播放器视频ed2k
    本项目是个搜索电驴（ed2k）链接的应用,借助于磁力视频播放器（官网： http://loveandroid.duapp.com/ 开放平台），可以实现在线播放视频，也可以用迅雷或者其他下载工具下载。 项目源码： http://git.oschina.net/svo/Emule,动态更新。也可从附件中下载。 项目源码依赖于两个库项目，库项目一链接： http://git.oschina.
  • Javascript中函数的toString()方法 周凡杨 JavaScriptjstoStringfunctionobject
    简述     The toString() method returns a string representing the source code of the function.     简译之，Javascript的toString()方法返回一个代表函数源代码的字符串。 句法     function.
  • struts处理自定义异常 g21121 struts
    很多时候我们会用到自定义异常来表示特定的错误情况，自定义异常比较简单，只要分清是运行时异常还是非运行时异常即可，运行时异常不需要捕获，继承自RuntimeException，是由容器自己抛出，例如空指针异常。 非运行时异常继承自Exception，在抛出后需要捕获，例如文件未找到异常。 此处我们用的是非运行时异常，首先定义一个异常LoginException: /** * 类描述：登录相
  • Linux中find常见用法示例 510888780 linux
    Linux中find常见用法示例 ·find   path   -option   [   -print ]   [ -exec   -ok   command ]   {} \; find命令的参数；
  • SpringMVC的各种参数绑定方式 Harry642 springMVC绑定表单
    1. 基本数据类型(以int为例，其他类似)： Controller代码： @RequestMapping("saysth.do") public void test(int count) { } 表单代码： <form action="saysth.do" method="post&q
  • Java 获取Oracle ROWID aijuans javaoracle
    A ROWID is an identification tag unique for each row of an Oracle Database table. The ROWID can be thought of as a virtual column, containing the ID for each row. The oracle.sql.ROWID class i
  • java获取方法的参数名 antlove javajdkparametermethodreflect
    reflect.ClassInformationUtil.java package reflect; import javassist.ClassPool; import javassist.CtClass; import javassist.CtMethod; import javassist.Modifier; import javassist.bytecode.CodeAtt
  • JAVA正则表达式匹配 查找 替换 提取操作 百合不是茶 java正则表达式替换提取查找
    正则表达式的查找;主要是用到String类中的split();       String str;      str.split();方法中传入按照什么规则截取,返回一个String数组   常见的截取规则: str.split("\\.")按照.来截取 str.
  • Java中equals()与hashCode()方法详解 bijian1013 javasetequals()hashCode()
    一.equals()方法详解     equals()方法在object类中定义如下：  public boolean equals(Object obj) { return (this == obj); }    很明显是对两个对象的地址值进行的比较（即比较引用是否相同）。但是我们知道，String 、Math、I
  • 精通Oracle10编程SQL(4)使用SQL语句 bijian1013 oracle数据库plsql
    --工资级别表 create table SALGRADE ( GRADE NUMBER(10), LOSAL NUMBER(10,2), HISAL NUMBER(10,2) ) insert into SALGRADE values(1,0,100); insert into SALGRADE values(2,100,200); inser
  • 【Nginx二】Nginx作为静态文件HTTP服务器 bit1129 HTTP服务器
     Nginx作为静态文件HTTP服务器 在本地系统中创建/data/www目录，存放html文件(包括index.html) 创建/data/images目录，存放imags图片 在主配置文件中添加http指令   http { server { listen 80; server_name
  • kafka获得最新partition offset blackproof kafkapartitionoffset最新
    kafka获得partition下标，需要用到kafka的simpleconsumer   import java.util.ArrayList; import java.util.Collections; import java.util.Date; import java.util.HashMap; import java.util.List; import java.
  • centos 7安装docker两种方式 ronin47
          第一种是采用yum 方式              yum install -y docker           
  • java-60-在O(1)时间删除链表结点 bylijinnan java
    public class DeleteNode_O1_Time { /** * Q 60 在O(1)时间删除链表结点 * 给定链表的头指针和一个结点指针(!!)，在O(1)时间删除该结点 * * Assume the list is: * head->...->nodeToDelete->mNode->nNode->..
  • nginx利用proxy_cache来缓存文件 cfyme cache
    user  zhangy users; worker_processes 10; error_log  /var/vlogs/nginx_error.log  crit; pid        /var/vlogs/nginx.pid; #Specifies the value for ma
  • [JWFD开源工作流]JWFD嵌入式语法分析器负号的使用问题 comsci 嵌入式
        假如我们需要用JWFD的语法分析模块定义一个带负号的方程式，直接在方程式之前添加负号是不正确的，而必须这样做：     string str01 = "a=3.14;b=2.71;c=0;c-((a*a)+(b*b))"     定义一个0整数c,然后用这个整数c去
  • 如何集成支付宝官方文档 dai_lm android
    官方文档下载地址 https://b.alipay.com/order/productDetail.htm?productId=2012120700377310&tabId=4#ps-tabinfo-hash 集成的必要条件 1. 需要有自己的Server接收支付宝的消息 2. 需要先制作app，然后提交支付宝审核，通过后才能集成 调试的时候估计会真的扣款，请注意
  • 应该在什么时候使用Hadoop datamachine hadoop
    原帖地址：http://blog.chinaunix.net/uid-301743-id-3925358.html 存档，某些观点与我不谋而合，过度技术化不可取，且hadoop并非万能。 --------------------------------------------万能的分割线-------------------------------- 有人问我，“你在大数据和Hado
  • 在GridView中对于有外键的字段使用关联模型进行搜索和排序 dcj3sjt126com yii
    在GridView中使用关联模型进行搜索和排序 首先我们有两个模型它们直接有关联: class Author extends CActiveRecord { ... } class Post extends CActiveRecord { ... function relations() { return array( '
  • 使用NSString 的格式化大全 dcj3sjt126com Objective-C
    格式定义The format specifiers supported by the NSString formatting methods and CFString formatting functions follow the IEEE printf specification; the specifiers are summarized in Table 1. Note that you c
  • 使用activeX插件对象object滚动有重影 蕃薯耀 activeX插件滚动有重影
      使用activeX插件对象object滚动有重影   <object style="width:0;" id="abc" classid="CLSID:D3E3970F-2927-9680-BBB4-5D0889909DF6" codebase="activex/OAX339.CAB#
  • SpringMVC4零配置 hanqunfeng springmvc4
    基于Servlet3.0规范和SpringMVC4注解式配置方式，实现零xml配置，弄了个小demo，供交流讨论。     项目说明如下： 1.db.sql是项目中用到的表，数据库使用的是oracle11g 2.该项目使用mvn进行管理，私服为自搭建nexus,项目只用到一个第三方 jar，就是oracle的驱动； 3.默认项目为零配置启动，如果需要更改启动方式，请
  • 《开源框架那点事儿16》：缓存相关代码的演变 j2eetop 开源框架
    问题引入 上次我参与某个大型项目的优化工作，由于系统要求有比较高的TPS，因此就免不了要使用缓冲。 该项目中用的缓冲比较多，有MemCache，有Redis，有的还需要提供二级缓冲，也就是说应用服务器这层也可以设置一些缓冲。 当然去看相关实现代代码的时候，大致是下面的样子。 [java] view plain copy print ? public vo
  • AngularJS浅析 kvhur JavaScript
    概念 AngularJS is a structural framework for dynamic web apps. 了解更多详情请见原文链接：http://www.gbtags.com/gb/share/5726.htm Directive 扩展html，给html添加声明语句，以便实现自己的需求。对于页面中html元素以ng为前缀的属性名称，ng是angular的命名空间
  • 架构师之jdk的bug排查(一)---------------split的点号陷阱 nannan408 split
    1.前言.    jdk1.6的lang包的split方法是有bug的,它不能有效识别A.b.c这种类型,导致截取长度始终是0.而对于其他字符,则无此问题.不知道官方有没有修复这个bug. 2.代码 String[] paths = "object.object2.prop11".split("'"); System.ou
  • 如何对10亿数据量级的mongoDB作高效的全表扫描 quentinXXZ mongodb
      本文链接:  http://quentinXXZ.iteye.com/blog/2149440 一、正常情况下，不应该有这种需求 首先，大家应该有个概念，标题中的这个问题，在大多情况下是一个伪命题，不应该被提出来。要知道，对于一般较大数据量的数据库，全表查询，这种操作一般情况下是不应该出现的，在做正常查询的时候，如果是范围查询，你至少应该要加上limit。 说一下，
  • C语言算法之水仙花数 qiufeihu c算法
    /** * 水仙花数 */ #include <stdio.h> #define N 10 int main() { int x,y,z; for(x=1;x<=N;x++) for(y=0;y<=N;y++) for(z=0;z<=N;z++) if(x*100+y*10+z == x*x*x
  • JSP指令 wyzuomumu jsp
    jsp指令的一般语法格式： <%@ 指令名 属性 =”值 ” %> 常用的三种指令： page,include,taglib page指令语法形式： <%@ page 属性 1=”值 1” 属性 2=”值 2”%> include指令语法形式： <%@include file=”relative url”%> (jsp可以通过 include
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他