4. 常见变更类型与触发场景

Envoy 作为数据面代理，其运行时行为完全由动态配置驱动。理解每种变更类型的本质、触发条件以及它们在控制面与数据面之间的传播路径，是进行变更门禁管控和故障定位的基础。本章将逐一拆解六种核心变更类型，并分析其典型触发场景。

4.1 变更类型总览

下表从变更对象、核心影响面、典型触发源三个维度，对六种常见变更进行横向对比：

4.2 路由规则变更

路由规则变更直接影响请求的匹配与转发逻辑。在微服务网关场景中，这是最频繁的变更类型。

• 触发场景：
  • 新服务上线，需要添加 prefix 或 regex 匹配规则。
  • 金丝雀发布：通过 weighted_clusters 调整流量比例。
  • Header 路由：基于 x-canary 或 x-version 进行流量染色。
  • 重定向规则：HTTP 到 HTTPS 强制跳转，或路径重写。
• 门禁关注点：
  • 路由冲突检测：新规则是否覆盖了已有规则，导致流量误匹配。
  • 权重总和校验：加权集群的权重之和是否为 100。
  • 正则表达式安全性：防止 ReDoS 攻击。

4.3 集群端点变更

端点变更是 Envoy 集群中动态性最高的部分，直接对应后端服务的实例列表变化。

• 触发场景：
  • Kubernetes Deployment 滚动更新：旧 Pod 摘除，新 Pod 加入。
  • HPA (Horizontal Pod Autoscaler) 触发扩缩容。
  • 主动故障摘除：健康检查失败后，控制面将端点标记为 UNHEALTHY。
  • AZ (Availability Zone) 迁移或节点维护。
• 门禁关注点：
  • 端点数量突变：短时间内大量端点消失或新增，可能引发连接风暴。
  • 权重异常：权重为 0 或负值。
  • 端点元数据一致性：例如 canary: true 标签是否与路由规则匹配。

4.4 监听器变更

监听器定义了 Envoy 如何接收来自客户端的连接。变更通常涉及网络层或协议层。

• 触发场景：
  • 新增 gRPC 端口监听。
  • 将 HTTP 监听器升级为 HTTP/2 或 HTTP/3。
  • 修改监听器级别的 connection_buffer_limit 或 keepalive 配置。
  • 动态添加或移除 Filter Chain。
• 门禁关注点：
  • 端口冲突：新监听器是否与已有监听器绑定同一端口。
  • Filter 链顺序：Filter 执行顺序错误可能导致请求处理异常。
  • 监听器名称唯一性：Envoy 要求监听器名称全局唯一。

4.5 TLS 证书变更

证书变更是安全敏感度最高的变更类型。错误的证书推送会导致 TLS 握手失败，直接中断业务。

• 触发场景：
  • 证书到期前自动轮换（通常由 cert-manager 触发）。
  • 更换 CA 签发机构。
  • 私钥泄露后的紧急吊销与替换。
  • 新增 SAN (Subject Alternative Name) 域名。
• 门禁关注点：
  • 证书链完整性：是否包含中间证书。
  • 私钥匹配性：证书与私钥是否配对。
  • 证书有效期：是否在有效期内，是否即将过期。
  • OCSP 响应有效性：如果启用了 OCSP Stapling，响应是否新鲜。

4.6 限流/熔断策略变更

限流和熔断策略是保护后端服务免受过载的最后一道防线。策略变更需要谨慎，避免误杀正常流量或导致保护失效。

• 触发场景：
  • 大促活动前调高限流阈值。
  • 检测到后端服务延迟升高，主动降低熔断阈值。
  • 基于实时流量指标，动态调整 max_requests 或 max_pending_requests。
  • 全局速率限制规则更新（通过 RateLimitService）。
• 门禁关注点：
  • 阈值合理性：新阈值是否远低于历史正常流量基线。
  • 熔断状态一致性：集群级别的熔断配置是否与端点级别配置冲突。
  • 限流描述符格式：对于全局限流，描述符的 key-value 结构必须与限流服务器匹配。

4.7 健康检查配置变更

健康检查配置决定了 Envoy 如何判断上游端点是否可用。配置不当会导致频繁的端点抖动或无法及时摘除故障节点。

• 触发场景：
  • 将 HTTP 健康检查切换为 gRPC 健康检查。
  • 调整 timeout 或 interval 以适应更严格的 SLO。
  • 修改 unhealthy_threshold 以减少误报。
  • 为不同集群设置差异化的健康检查路径。
• 门禁关注点：
  • 探测间隔与超时关系：超时时间不应大于探测间隔。
  • 阈值一致性：健康阈值与不健康阈值之和应大于 1，避免状态翻转过快。
  • 健康检查类型匹配：HTTP 健康检查需要确保后端服务暴露了对应的 HTTP 端点。

4.8 变更传播路径与故障注入点

下图展示了从控制面配置变更到 Envoy 数据面生效的完整路径，并标注了每个环节可能出现的故障点：

4.9 变更触发场景速查表

以下速查表帮助 SRE 在收到告警时快速定位变更类型与可能的原因：