WEBKT

玩转 Envoy Filter：自定义 Service Mesh 流量处理逻辑

128 0 0 0

什么是 Envoy Filter？

Envoy Filter 是 Envoy Proxy 提供的一种强大的扩展机制，允许你在不修改 Envoy 源码的情况下，动态地修改 Envoy 的配置。这意味着你可以通过 Envoy Filter 来插入自定义的流量处理逻辑，从而实现各种高级功能，例如：

  • 流量染色 (Traffic Shadowing)：将一部分流量复制到影子服务，用于测试新版本或新功能。
  • 请求重写 (Request Rewriting)：修改请求的 Header 或 Body，例如添加认证信息或修改目标服务地址。
  • 自定义认证鉴权 (Custom Authentication/Authorization)：基于请求的 Header 或 Body，实现自定义的认证鉴权逻辑。
  • 故障注入 (Fault Injection)：模拟网络延迟或错误，用于测试服务的容错能力。

Envoy Filter 的核心思想是在 Envoy 的请求处理流程中插入一系列的 Filter，每个 Filter 负责处理特定的任务。这些 Filter 可以按照一定的顺序排列，形成一个 Filter Chain，从而实现复杂的流量处理逻辑。

Envoy Filter 的类型

Envoy Filter 主要分为以下几种类型：

  • Listener Filter：作用于 Listener 级别，可以拦截所有进入 Listener 的连接。
  • Network Filter：作用于 TCP 连接级别，可以拦截 TCP 连接中的所有数据包。
  • HTTP Filter：作用于 HTTP 连接级别，可以拦截 HTTP 请求和响应。
  • Route Filter：作用于路由级别，可以拦截匹配特定路由的请求。

每种类型的 Filter 都有其特定的使用场景和配置方式，你需要根据实际需求选择合适的 Filter 类型。

如何配置 Envoy Filter？

Envoy Filter 的配置方式取决于你使用的 Service Mesh 平台。一般来说，你可以通过 Kubernetes 的 Custom Resource Definition (CRD) 来定义 Envoy Filter。以下是一个简单的 Envoy Filter 示例，用于在请求 Header 中添加 x-custom-header: custom-value：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: add-custom-header
  namespace: default
spec:
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: ANY
      proxy: 
        proxyVersion: '1.1[6-9].*'
      routeConfiguration:
        vhost:
          name: "*"
          route:
            action: REQUIRE
            name: "default"
    patch:
      operation: INSERT_FIRST
      value:
        name: envoy.lua
        typed_config:
          "@type": "type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua"
          inlineCode: |
            function envoy_on_request(request_handle)
              request_handle:headers():add("x-custom-header", "custom-value")
            end

这个 Envoy Filter 的配置包含了以下几个关键部分：

  • apiVersion 和 kind：指定了 CRD 的版本和类型，这里是 Istio 的 EnvoyFilter。
  • metadata：指定了 Envoy Filter 的名称和命名空间。
  • spec.configPatches：指定了要修改的 Envoy 配置。这里我们修改的是 HTTP Filter。
    • applyTo：指定了要修改的 Envoy 配置的类型，这里是 HTTP_FILTER。
    • match：指定了要匹配的 Envoy 配置。这里我们匹配的是所有的 HTTP 连接。
      • context: 指定了应用场景，ANY 表示任何场景。
      • proxy: 指定了 Envoy 版本，确保 Filter 兼容特定版本。
      • routeConfiguration: 指定了路由配置，可以精确匹配到 VirtualHost 和 Route。
    • patch：指定了要执行的修改操作。
      • operation：指定了修改操作的类型，这里是 INSERT_FIRST，表示将新的 Filter 插入到 Filter Chain 的最前面。
      • value：指定了要插入的 Filter 的配置。这里我们插入了一个 Lua Filter，用于在请求 Header 中添加 x-custom-header: custom-value。

Envoy Filter 的使用场景

Envoy Filter 的使用场景非常广泛，以下是一些常见的示例：

  • 流量染色 (Traffic Shadowing)：你可以使用 Envoy Filter 将一部分流量复制到影子服务，用于测试新版本或新功能。这可以通过配置 HTTP Filter，将匹配特定 Header 或 Cookie 的请求复制到影子服务来实现。
  • 请求重写 (Request Rewriting)：你可以使用 Envoy Filter 修改请求的 Header 或 Body，例如添加认证信息或修改目标服务地址。这可以通过配置 HTTP Filter，使用 Lua 脚本或 Header 操作来实现。
  • 自定义认证鉴权 (Custom Authentication/Authorization)：你可以使用 Envoy Filter 基于请求的 Header 或 Body，实现自定义的认证鉴权逻辑。这可以通过配置 HTTP Filter，调用外部认证服务或使用 Lua 脚本来实现。
  • 故障注入 (Fault Injection)：你可以使用 Envoy Filter 模拟网络延迟或错误，用于测试服务的容错能力。这可以通过配置 HTTP Filter，延迟请求或返回错误码来实现。

Envoy Filter 的最佳实践

在使用 Envoy Filter 时，需要注意以下几点：

  • 谨慎使用：Envoy Filter 功能强大，但也容易出错。不合理的 Filter 配置可能会导致服务不稳定或性能下降。因此，在使用 Envoy Filter 时，务必谨慎评估其影响。
  • 测试充分：在将 Envoy Filter 应用到生产环境之前，务必进行充分的测试。可以使用流量染色等技术，在不影响线上服务的情况下，验证 Filter 的正确性。
  • 监控到位：Envoy Filter 的执行情况需要进行监控。可以通过 Envoy 的 Metrics 或 Tracing 功能，了解 Filter 的执行时间、错误率等指标，及时发现和解决问题。
  • 版本兼容：Envoy Filter 的配置方式可能因 Envoy 版本而异。在配置 Envoy Filter 时，务必参考对应版本的官方文档，确保配置的兼容性。
  • 最小权限原则：Envoy Filter 具有修改 Envoy 配置的能力，因此需要严格控制其权限。避免将过多的权限赋予 Envoy Filter，防止被恶意利用。

总结

Envoy Filter 是一种强大的扩展机制，可以让你在不修改 Envoy 源码的情况下，自定义 Service Mesh 中的流量处理逻辑。通过合理地使用 Envoy Filter，你可以实现各种高级功能，从而更好地掌控 Service Mesh 中的流量。但是，Envoy Filter 也需要谨慎使用，务必进行充分的测试和监控，确保其稳定性和安全性。希望本文能够帮助你更好地理解和使用 Envoy Filter，打造更加灵活和强大的 Service Mesh。

Envoy探索者 Envoy FilterService Mesh流量处理

评论点评