4. 门禁数据传输模型：请求/响应数据流、七层代理与四层代理、数据包在Envoy中的流转路径
门禁系统的每一次刷卡、验证、开门指令，本质上都是一次完整的网络数据传输。理解数据在客户端、Envoy 代理与后端服务之间的流动模型，是进行性能优化和接口调试的基础。本章将深入剖析请求/响应数据流、四层与七层代理的核心差异，以及数据包在 Envoy 内部的完整流转路径。
4.1 请求/响应数据流模型
门禁系统的典型交互场景包含三个角色：门禁终端（客户端）、Envoy 代理（网关）、门禁控制服务（后端）。一次完整的请求/响应数据流遵循以下步骤：
- 客户端发起连接：门禁终端（如刷卡器、人脸识别终端）向 Envoy 代理的监听端口（如 8080）发起 TCP 连接。
- Envoy 接受连接：Envoy 的 Listener 模块接受该连接，并创建新的连接处理协程。
- 数据读取与解析：Envoy 从连接中读取原始字节流，根据配置的协议（HTTP/1.1、HTTP/2、gRPC 或 TCP 透传）进行解析。
- 路由匹配：解析后的请求进入 Router 模块，根据请求头（Host、Path）、源 IP 等属性匹配预定义的路由规则。
- 负载均衡与转发：Router 将请求转发给选定的上游集群（Upstream Cluster），并通过负载均衡算法（如轮询、最少连接）选择一个具体的后端实例。
- 建立上游连接：Envoy 与选定的后端服务建立新的 TCP 连接（或复用连接池中的连接）。
- 转发请求：Envoy 将解析后的请求数据（可能经过修改，如添加/删除 Header）发送给后端服务。
- 接收响应：后端服务处理请求后，将响应数据返回给 Envoy。
- 响应处理与返回：Envoy 接收响应，可能进行缓存、限流、Header 修改等操作，然后将响应数据返回给门禁终端。
- 连接关闭或复用：根据协议和配置，连接可能被关闭或放入连接池等待复用。
性能要点： 在门禁高并发场景下，步骤 6 的“连接复用”是降低延迟的关键。Envoy 的连接池机制可以显著减少与后端服务频繁建立/断开 TCP 连接的开销。
4.2 七层代理与四层代理
Envoy 支持两种代理模式：四层代理（L4，传输层）和七层代理（L7，应用层）。它们在门禁数据传输中扮演不同角色，理解其差异至关重要。
| 对比维度 | 四层代理（L4） | 七层代理（L7） |
|---|---|---|
| 工作层级 | TCP/UDP 传输层 | HTTP/gRPC 应用层 |
| 数据解析 | 不解析应用层数据，仅转发数据包 | 解析请求头、请求体、Cookie 等 |
| 路由依据 | 源/目的 IP、端口 | Host、Path、Header、Method 等 |
| 性能 | 高，吞吐量大，延迟低 | 相对较低，因解析带来额外开销 |
| 功能丰富度 | 低，仅支持简单的流量转发和 ACL | 高，支持限流、熔断、重试、Header 修改、认证等 |
| 门禁适用场景 | 透传老旧门禁协议（如私有 TCP 协议） | RESTful API、gRPC 接口的精细化管理 |
避坑指南： 如果门禁终端使用私有二进制协议（非 HTTP），请务必使用四层代理（TCP Proxy）模式。错误地使用七层代理会导致 Envoy 无法解析数据包，造成连接断开或数据损坏。
4.3 数据包在Envoy中的流转路径
为了更直观地展示数据包在 Envoy 内部的流转，下图描绘了从门禁终端到后端服务的完整路径，涵盖了四层和七层代理的关键处理阶段。
4.4 关键路径详解
数据包在 Envoy 内部的流转并非简单的“直通”，而是经过多个精心设计的处理阶段。以下是几个关键节点的详细说明：
- Listener（监听器）：Envoy 的入口。每个 Listener 绑定一个 IP 和端口，负责接收来自客户端的连接。门禁系统通常配置一个或多个 Listener 来区分不同的门禁协议（如 HTTP 门禁 API 和私有 TCP 门禁协议）。
- Filter 链（过滤器链）：这是 Envoy 的核心处理单元。对于七层代理，Filter 链包含一系列插件，按顺序执行。常见的门禁相关 Filter 包括：
- RBAC Filter：基于角色的访问控制，用于门禁终端的身份认证。
- Rate Limit Filter：限流，防止某个门禁终端恶意刷请求。
- Header Modification Filter：修改请求头，如添加门禁区域 ID。
- Router（路由器）：根据请求的 Host、Path 等属性，将请求路由到对应的上游集群。例如，将
/api/v1/door/open路由到door_open_service集群。 - 负载均衡与连接池：Envoy 为每个上游集群维护一个连接池。当请求到来时，负载均衡算法从连接池中选择一个空闲连接，或创建一个新连接。连接池复用是提升门禁系统吞吐量的关键。
调试技巧： 当门禁接口出现超时或连接异常时，可以启用 Envoy 的
access log 和 admin endpoint（如 /stats）来观察数据包在 Filter 链和负载均衡阶段的耗时。重点关注 upstream_rq_time 和 downstream_cx_destroy 等指标。
4.5 四层与七层代理的抉择
在门禁系统中，选择 L4 还是 L7 代理，取决于门禁终端的通信协议和业务需求。以下是一个决策流程：
- 判断协议类型：门禁终端是否使用 HTTP/HTTPS/gRPC 等标准应用层协议？
- 是：使用 L7 代理，以便进行精细化的路由、限流和认证。
- 否（如私有 TCP 协议、UDP 广播）：使用 L4 代理，仅做透传。
- 评估性能需求：门禁系统是否要求极致的低延迟和高吞吐？
- 是：优先考虑 L4 代理，减少协议解析开销。
- 否：L7 代理提供的丰富功能通常利大于弊。
- 考虑未来扩展：未来是否需要根据请求内容（如门禁卡号、区域）进行灰度发布或 A/B 测试？
- 是：必须使用 L7 代理。
- 否：L4 代理可以满足当前需求。
Envoy 的灵活性允许在同一网关中混合使用 L4 和 L7 代理，通过不同的 Listener 端口或 Filter 配置来区分，从而满足门禁系统多样化的数据传输需求。