4. 漂移现象分类：配置漂移、端点漂移、路由规则漂移、健康检查漂移

在 Kubernetes 服务网格（如 Istio、Linkerd）中，流量拓扑的稳定性直接决定微服务通信的可靠性。当控制面与数据面之间的期望状态（Spec）与实际运行状态（Status）出现偏差时，即发生流量拓扑漂移。根据漂移发生的层次与对象，可将其归纳为以下四类核心现象。

4.1 四类漂移现象总览

4.2 配置漂移（Configuration Drift）

配置漂移指 Sidecar Proxy 或数据面组件实际加载的配置与 Istiod（控制面）下发的期望配置不一致。常见场景包括：

• XDS 推送失败： 控制面与 Envoy 之间的 gRPC 流中断，导致增量配置未生效。
• Envoy 热重启异常： 旧配置残留，新配置被部分丢弃。
• MeshConfig 版本冲突： 多个控制面实例同时下发不同版本的全局配置。

# 检查 Sidecar 配置版本是否与控制面一致
istioctl proxy-status
# 输出示例：SYNCED 表示一致，STALE 表示漂移
NAME                               CDS        LDS        EDS        RDS          ISTIOD
details-v1-6d6f9b5d4c-abc12        SYNCED     SYNCED     SYNCED     SYNCED       istiod-7c8d9f9b6c-x1y2z
reviews-v2-7c4f8b9d4c-def34        STALE      STALE      SYNCED     STALE        istiod-7c8d9f9b6c-x1y2z

4.3 端点漂移（Endpoint Drift）

端点漂移发生在服务发现层面，指 Envoy 维护的上游端点列表与 Kubernetes EndpointSlice 实际状态不一致。典型诱因：

• Pod 滚动更新： 旧 Pod 已 Terminating，但 Envoy 仍保留其 IP。
• EndpointSlice 更新延迟： 控制面 EDS 推送滞后于 kube-apiserver 变更。
• 异常驱逐： OutlierDetection 主动弹出端点，但未同步至控制面。

4.4 路由规则漂移（Route Rule Drift）

路由规则漂移是最隐蔽的一类，指 VirtualService 或 DestinationRule 在控制面与数据面之间的解析结果不一致。常见原因：

• 规则优先级混乱： 多个 VirtualService 匹配同一 host，但权重或匹配条件冲突。
• DestinationRule 子集失效： 引用的 subset 标签在 Pod 上已不存在。
• HTTP 路由超时/重试配置被覆盖： 全局默认策略与局部策略叠加产生非预期行为。

# 查看 Envoy 实际加载的路由配置
istioctl proxy-config routes <pod> --name <route_name> -o json
# 对比期望的 VirtualService YAML，检查权重、匹配条件、目标集群是否一致

4.5 健康检查漂移（Health Check Drift）

健康检查漂移主要影响数据面的主动健康检测与被动异常检测。当 Envoy 对上游集群的健康判断与 Kubernetes 探针（ReadinessProbe）结果不一致时，流量可能被导向不健康的 Pod，或健康的 Pod 被错误隔离。

4.6 四类漂移的关系与传递路径

下图展示了四类漂移在服务网格控制面与数据面之间的传递关系。配置漂移和路由规则漂移从控制面流向数据面；端点漂移和健康检查漂移则在数据面内部或数据面与集群基础设施之间传递。

4.7 漂移分类的复测关注点

在后续章节的复测流程中，针对不同漂移类型需采用差异化的检测与验证策略：

• 配置漂移： 优先校验 XDS 推送状态（istioctl proxy-status）和 Envoy 配置版本号。
• 端点漂移： 对比 EDS 端点列表与 Kubernetes EndpointSlice，关注滚动更新和异常驱逐场景。
• 路由规则漂移： 通过流量镜像或金丝雀发布验证实际路由行为，而非仅依赖 YAML 对比。
• 健康检查漂移： 同时观察 Envoy 的主动健康检查日志和 Kubernetes 的 Pod 事件，定位不一致根因。