4. Envoy代理架构：线程模型与核心配置模型
Envoy 作为高性能的 L7 代理和服务网格数据面核心，其架构设计围绕非阻塞事件驱动和热重启两大原则展开。理解 Envoy 的线程模型以及 Listener/Cluster/Endpoint 配置模型，是掌握流量劫持、安全策略注入和信任边界验证的基础。
4.1 Envoy 线程模型：主线程 + Worker 线程
Envoy 采用单进程多线程架构，主要包含三类线程：主线程（Main Thread）、工作线程（Worker Threads）和文件刷新线程（File Flusher Threads）。这种设计避免了多进程模型下的共享内存开销，同时通过线程亲和性提升 CPU 缓存命中率。
| 线程类型 | 数量 | 核心职责 | 关键特性 |
|---|---|---|---|
| 主线程 | 1 | 配置加载/热重启、DNS 解析、集群管理、统计刷新、Admin API | 不处理任何工作线程的 I/O；通过事件驱动与 Worker 通信 |
| 工作线程 | 默认 = CPU 核数 | 监听器 accept、新连接建立、TLS 握手、HTTP/1.1/2 编解码、路由转发、连接池管理 | 每个 Worker 拥有独立的 event loop 和连接池；无锁设计 |
| 文件刷新线程 | 1~2 | 异步写入访问日志、统计文件 | 避免 Worker 线程因磁盘 I/O 阻塞 |
Envoy 的线程模型通过 SO_REUSEPORT 实现监听器在多个 Worker 之间的负载均衡。每个 Worker 独立调用 accept()，内核将新连接分发到空闲的 Worker，从而消除线程间锁竞争。
concurrency: 2 或与 CPU 核数一致。过多的 Worker 会导致 TLS 握手上下文切换开销增加，过少则无法充分利用多核能力。
4.2 Listener 配置模型：流量入口与安全边界
Listener 定义了 Envoy 如何监听端口并接收入站流量。在服务网格中，每个 Pod 内的 Envoy sidecar 会启动两个核心 Listener：
- 虚拟入站监听器（Virtual Inbound Listener）：绑定 15006 端口，拦截所有进入 Pod 的流量。
- 虚拟出站监听器（Virtual Outbound Listener）：绑定 15001 端口，拦截所有从 Pod 发出的流量。
Listener 配置的核心字段包括：
| 字段 | 说明 | 信任边界相关 |
|---|---|---|
address |
监听地址和端口（如 0.0.0.0:15006） | 确保仅绑定预期端口，防止端口劫持 |
filter_chains |
网络过滤器链（TLS 解密、HTTP 解析、RBAC 授权） | TLS 证书验证、JWT 校验在此处执行 |
listener_filters |
原始目标 IP 恢复、TLS 检测 | 用于透明劫持场景下的原始目标还原 |
use_original_dst |
是否使用原始目标地址转发 | 确保流量被正确路由到目标服务 |
bind_to_port |
是否绑定端口（sidecar 模式通常为 false） | 避免端口冲突，保障 sidecar 注入安全 |
filter_chains 中配置 RBAC 过滤器，仅允许携带有效 SPIFFE 身份证书的客户端建立连接。未配置 RBAC 的 Listener 将导致信任边界被绕过。
4.3 Cluster 配置模型：流量出口与负载均衡
Cluster 定义了 Envoy 如何连接上游服务。每个 Cluster 包含一组 Endpoint（后端实例），Envoy 根据负载均衡策略将请求分发到这些 Endpoint。
Cluster 配置的核心字段：
| 字段 | 说明 | 信任边界相关 |
|---|---|---|
name |
集群唯一标识（如 outbound|8080||reviews.default.svc.cluster.local） |
用于路由匹配和统计 |
type |
发现类型：STRICT_DNS / LOGICAL_DNS / EDS / STATIC |
EDS 支持动态端点更新，适合服务网格 |
connect_timeout |
连接超时（默认 5s） | 防止恶意慢连接耗尽连接池 |
transport_socket |
TLS 配置（上游 mTLS 证书、SNI） | 确保上游连接也经过双向认证 |
circuit_breakers |
熔断阈值（最大连接数、最大请求数） | 防止级联故障，保障信任边界稳定性 |
4.4 Endpoint 配置模型：服务实例与健康检查
Endpoint 是 Cluster 中的具体后端实例。在 Istio 控制面下，Endpoint 通过 EDS（Endpoint Discovery Service） 动态下发，每个 Endpoint 包含 IP 地址、端口、元数据（如权重、区域、身份标签）。
Endpoint 配置的关键属性：
- 地址（address）：后端 Pod 的 IP 和端口。
- 健康状态（health_status）：
HEALTHY/UNHEALTHY/DRAINING。 - 负载均衡权重（load_balancing_weight）：用于加权轮询。
- 元数据（metadata）：包含服务版本、区域、信任域等标签。
spiffe_id 和 image_digest 字段。Envoy 可以在路由阶段根据这些元数据执行 细粒度访问控制，例如仅允许使用特定镜像摘要的 Endpoint 接收敏感数据。
4.5 配置模型在信任边界验证中的协同
在镜像供应链信任边界流量验证场景中，Listener、Cluster、Endpoint 三者协同工作：
- Listener 层：通过 TLS 过滤器验证客户端证书（SPIFFE），通过 RBAC 过滤器检查客户端身份是否在允许列表中。
- Cluster 层：配置上游 mTLS，确保 Envoy 到后端服务的连接也经过双向认证；设置熔断阈值防止恶意流量压垮后端。
- Endpoint 层：通过 EDS 动态获取后端实例列表，每个实例的元数据包含
image_digest和spiffe_id，用于细粒度路由和访问控制。
DestinationRule 配置 Cluster 的 TLS 模式和连接池设置，通过 VirtualService 配置 Listener 的路由规则。建议在 PeerAuthentication 中设置 STRICT 模式，强制所有流量使用 mTLS。