📚 课程目录第3章升级窗口定义

3. 升级窗口定义：滚动升级、蓝绿部署、金丝雀发布在网关场景下的适用性

在云原生网关的升级场景中，选择正确的部署策略直接决定了升级窗口的时长、风险敞口以及回滚能力。本节从网关的无状态代理与连接密集双重特性出发，对比三种主流升级模式在网关场景下的适用边界。

3.1 三种升级策略的核心差异

维度	滚动升级	蓝绿部署	金丝雀发布
升级窗口	持续窗口，逐实例替换	瞬时切换窗口	渐进式流量迁移窗口
资源占用	N（原集群规模）	2N（双倍资源）	N + M（M < N）
回滚速度	慢，需逐实例回退	极快，切回旧版本	快，调整流量权重
连接保持	需优雅排空	会话粘性挑战	按比例分流
网关适用性	中等（需配合排空）	高（推荐生产）	高（灰度验证）

关键结论：网关作为南北流量的统一入口，其升级策略必须优先考虑连接中断最小化与快速回滚能力。蓝绿部署在大多数生产网关场景中是最安全的选择，而金丝雀发布更适合新功能的小范围验证。

3.2 滚动升级：逐实例替换的适用边界

滚动升级通过逐个替换网关实例完成版本更新，适用于资源受限或无法预留双倍资源的环境。但在网关场景下，必须解决以下三个关键问题：

优雅排空（Graceful Drain）：在终止旧实例前，必须等待现有连接处理完毕或超时关闭，避免客户端收到RST。
健康检查窗口：新实例必须通过就绪探针（Readiness Probe）确认TLS证书加载、路由规则同步完成后，再接入流量。
版本兼容性：滚动期间新旧版本共存，要求网关配置与API版本向后兼容。

# 滚动升级排空配置示例（Kubernetes + Envoy）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: gateway-proxy
spec:
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxUnavailable: 1
      maxSurge: 1
  template:
    spec:
      terminationGracePeriodSeconds: 60
      containers:
      - name: envoy
        lifecycle:
          preStop:
            exec:
              command: ["/bin/sh", "-c", "curl -X POST localhost:15000/drain_listeners?inboundonly && sleep 30"]

风险提示：滚动升级期间，如果网关实例数较少（如 < 3），逐实例替换可能导致整体容量下降，引发级联过载。建议最小副本数不低于3，并配合PodDisruptionBudget使用。

3.3 蓝绿部署：瞬时切换的网关最佳实践

蓝绿部署维护两套完全独立的网关集群（蓝环境=当前版本，绿环境=新版本），通过负载均衡器或DNS实现瞬时切换。该模式在网关场景下的优势尤为突出：

零窗口切换：流量切换可在秒级完成，升级窗口几乎为零。
全量验证：新版本在绿环境全量运行，可执行完整的TLS握手、路由匹配、限流测试。
原子回滚：一旦发现问题，立即将流量切回蓝环境，回滚时间 < 1秒。

3.4 金丝雀发布：渐进式流量验证

金丝雀发布在网关场景中用于小范围验证新版本，通过流量权重或请求特征将少量请求导向新版本网关实例。其核心价值在于：

真实流量验证：使用生产流量测试新版本，发现隐蔽的TLS协商、协议兼容性问题。
渐进式放量：从1% → 5% → 20% → 100%，每个阶段可观察延迟火焰图和错误率。
精细化分流：支持按Header、Cookie、IP段等维度进行灰度路由。

3.5 网关场景下的策略选择矩阵

根据网关的业务重要性、资源预算和风险容忍度，推荐以下选择矩阵：

场景特征	推荐策略	升级窗口	回滚时间
核心生产网关，零容忍中断	蓝绿部署	< 1秒（切换时间）	< 1秒
新功能灰度验证，需真实流量	金丝雀发布	分钟~小时级（渐进）	秒级（权重调整）
开发/测试环境，资源受限	滚动升级	分钟级（逐实例）	分钟级
边缘网关，低流量场景	滚动升级或蓝绿	秒~分钟级	秒级

  实践建议：在本次升级窗口演练中，我们将采用蓝绿部署作为主升级策略，同时利用金丝雀发布在切换前对新版本进行5%流量的短期验证。这种组合策略既保证了升级窗口的瞬时性，又通过真实流量验证降低了风险。