Cilium项目中的Envoy流量管理配置详解

毛炎宝Gardener

于 2025-06-01 09:14:43 发布

阅读量647

点赞数 26

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/gitblog_00416/article/details/148362389

Cilium项目中的Envoy流量管理配置详解

cilium Cilium 是一个开源的网络和存储编排工具，用于容器网络、负载均衡和网络安全。 * 用于容器网络、负载均衡和网络安全、支持多种编程语言和框架、容器网络。 * 有什么特点：支持多种编程语言和框架项目地址: https://gitcode.com/gh_mirrors/ci/cilium

前言

在现代云原生架构中，服务网格(Service Mesh)技术已经成为微服务通信的重要基础设施。Cilium作为基于eBPF技术的新一代网络和安全解决方案，通过与Envoy代理的深度集成，提供了强大的流量管理能力。本文将深入解析一个典型的Cilium Envoy流量管理配置示例，帮助读者理解如何利用Cilium实现精细化的流量控制。

配置概览

这个YAML文件定义了一个CiliumClusterwideEnvoyConfig资源，它会在整个Kubernetes集群范围内生效。该配置主要包含三个核心部分：

监听器(Listener)配置
路由(Route)配置
集群(Cluster)配置

监听器配置解析

监听器是Envoy接收网络流量的入口点。在这个配置中，我们定义了一个名为envoy-lb-listener的监听器：

- "@type": type.googleapis.com/envoy.config.listener.v3.Listener
  name: envoy-lb-listener
  filter_chains:
    - filters:
        - name: envoy.filters.network.http_connection_manager
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
            stat_prefix: envoy-lb-listener
            rds:
              route_config_name: lb_route
            use_remote_address: true
            skip_xff_append: true
            http_filters:
              - name: envoy.filters.http.router

关键点说明：

使用了HTTP连接管理器(HTTP Connection Manager)过滤器处理HTTP流量
通过RDS(路由发现服务)动态获取路由配置，这里指定了路由配置名称为lb_route
use_remote_address设置为true，确保Envoy使用真实客户端IP
skip_xff_append设置为true，避免重复添加X-Forwarded-For头
最后使用路由器过滤器完成HTTP请求处理

路由配置详解

路由配置定义了请求如何被转发到不同的后端服务：

- "@type": type.googleapis.com/envoy.config.route.v3.RouteConfiguration
  name: lb_route
  virtual_hosts:
    - name: "lb_route"
      domains: [ "*" ]
      routes:
        - match:
            prefix: "/"
          route:
            weighted_clusters:
              clusters:
                - name: "default/echo-service-1"
                  weight: 50
                - name: "default/echo-service-2"
                  weight: 50
            retry_policy:
              retry_on: 5xx
              num_retries: 3
              per_try_timeout: 1s
            regex_rewrite:
              pattern:
                google_re2: { }
                regex: "^/foo.*$"
              substitution: "/"

关键特性：

加权路由：将流量按50:50的比例分配到两个服务
重试策略：对5xx错误自动重试，最多3次，每次尝试超时1秒
URL重写：将/foo开头的路径重写为/

这种配置非常适合金丝雀发布或A/B测试场景，可以精确控制流量分配比例。

集群配置分析

集群配置定义了后端服务的连接参数：

- "@type": type.googleapis.com/envoy.config.cluster.v3.Cluster
  name: "default/echo-service-1"
  connect_timeout: 5s
  lb_policy: ROUND_ROBIN
  type: EDS
  outlier_detection:
    split_external_local_origin_errors: true
    consecutive_local_origin_failure: 2

- "@type": type.googleapis.com/envoy.config.cluster.v3.Cluster
  name: "default/echo-service-2"
  connect_timeout: 3s
  lb_policy: ROUND_ROBIN
  type: EDS
  outlier_detection:
    split_external_local_origin_errors: true
    consecutive_local_origin_failure: 2

重要配置项：