1. Envoy 架构概览从 L4 到 L7 的代理能力Envoy 作为现代服务网格和数据平面的核心组件其架构设计从根本上颠覆了传统代理的工作模式。与 Nginx 和 HAProxy 这类基于配置文件的代理不同Envoy 采用了完全动态化的 xDS API 驱动架构。这种设计使得 Envoy 能够在运行时动态接收和更新所有配置包括监听器、路由规则、集群定义和服务端点而无需重启进程或重新加载配置。Envoy 的核心架构围绕三个关键概念构建监听器Listener定义 Envoy 监听的网络地址和端口是流量进入 Envoy 的入口点。每个监听器可以配置多个过滤链Filter Chain用于处理不同类型的网络流量。过滤器Filter构成 Envoy 处理逻辑的基本单元分为网络过滤器L4和 HTTP 过滤器L7两大类。过滤器按照配置顺序形成处理管道每个过滤器负责特定的功能如 TLS 解密、协议解析、路由决策等。集群Cluster定义上游服务的逻辑分组包含端点发现、负载均衡、健康检查等配置。Envoy 通过集群配置知道如何将流量转发到后端服务。这种架构使 Envoy 能够灵活应对各种代理场景L4 透明代理在传输层TCP/UDP进行流量转发不解析应用层协议L7 智能路由深入解析 HTTP/1.1、HTTP/2、gRPC 等应用协议实现基于路径、头部等高级路由协议桥接在不同协议版本间转换如 HTTP/1.1 到 HTTP/2 的自动升级2. 线程模型与高性能设计2.1 基于事件的单进程多线程模型Envoy 采用单进程多线程架构主线程负责控制平面操作如 xDS 配置更新而多个工作线程Worker并行处理数据平面流量。每个工作线程运行独立的 libevent 事件循环处理分配给它的所有连接和请求。这种设计的优势体现在无锁并发工作线程间几乎不共享状态每个连接及其相关数据包括请求处理状态始终由同一线程处理资源隔离一个线程的阻塞或异常不会影响其他线程的正常工作线性扩展性能随 CPU 核心数增加而线性提升典型的生产环境配置会根据服务器 CPU 核心数设置工作线程数量例如# envoy.yaml 片段 concurrency: 8 # 通常设置为物理核心数2.2 连接处理流程当新连接到达时内核通过 SO_REUSEPORT 机制将其分配给某个工作线程。该线程随后处理该连接的所有生命周期事件连接接受工作线程从监听套接字接受新连接L4 过滤链依次执行网络层过滤器如 TLS 解密、协议检测L7 处理对于 HTTP 流量HTTP 连接管理器HCM接管执行 HTTP 编解码和 L7 过滤链上游连接根据路由决策建立到上游集群的连接进行负载均衡流量转发在上下游间双向转发数据这种每连接单线程模型避免了传统代理中常见的锁竞争问题是 Envoy 高性能的关键。3. Filter 链Envoy 的可扩展性核心3.1 分层过滤架构Envoy 的过滤链是其灵活性和扩展性的核心机制分为两个层次L4 网络过滤器TLS Inspector检测 TLS 握手信息HTTP Inspector识别 HTTP 协议版本TCP Proxy基本的 TCP 流量转发MySQL ProxyMySQL 协议感知代理HTTP Connection ManagerHTTP 流量处理入口L7 HTTP 过滤器Router最终的路由决策和执行Rate Limit请求速率限制JWT AuthJWT 令牌验证CORS跨域资源共享处理WASM通过 WebAssembly 执行自定义逻辑过滤器按照配置顺序形成处理管道每个过滤器可以中断处理链并直接响应修改请求/响应内容添加/删除头部收集指标数据3.2 典型 Filter 配置示例http_filters: - name: envoy.filters.http.ratelimit typed_config: type: type.googleapis.com/envoy.extensions.filters.http.ratelimit.v3.RateLimit domain: example failure_mode_deny: true timeout: 0.05s rate_limit_service: grpc_service: envoy_grpc: cluster_name: rate_limit_cluster - name: envoy.filters.http.jwt_authn typed_config: type: type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication providers: example_provider: issuer: https://auth.example.com audiences: [api.example.com] remote_jwks: http_uri: uri: https://auth.example.com/.well-known/jwks.json cluster: auth_service cache_duration: 300s - name: envoy.filters.http.router typed_config: type: type.googleapis.com/envoy.extensions.filters.http.router.v3.Router3.3 WASM 扩展机制Envoy 通过 WebAssembly (WASM) 支持运行时动态扩展允许开发者使用多种语言编写过滤器use proxy_wasm::traits::*; use proxy_wasm::types::*; #[no_mangle] pub fn _start() { proxy_wasm::set_http_context(|_, _| - Boxdyn HttpContext { Box::new(AuthFilter) }); } struct AuthFilter; impl Context for AuthFilter {} impl HttpContext for AuthFilter { fn on_http_request_headers(mut self, _: usize) - Action { match self.get_http_request_header(X-API-Key) { Some(key) if key secret-key Action::Continue, _ { self.send_http_response( 403, vec![(Content-Type, application/json)], Some(br#{error:forbidden}#), ); Action::Pause } } } }WASM 过滤器的优势包括安全隔离运行在沙箱中不会导致 Envoy 崩溃多语言支持Rust、Go、C 等热加载无需重启 Envoy 即可更新逻辑4. xDS动态配置的神经系统4.1 xDS 协议族xDS 是 Envoy 动态配置的基础包含一组发现服务服务类型功能描述更新频率LDS (Listener)监听器配置低RDS (Route)HTTP 路由规则中CDS (Cluster)上游集群定义低EDS (Endpoint)集群成员信息高SDS (Secret)TLS 证书中ECDS (Extension)过滤器配置中这些服务可以通过 gRPC 流式传输或 REST 轮询方式获取推荐使用 ADS (Aggregated Discovery Service) 聚合所有 xDS 服务保证配置更新的一致性。4.2 动态配置更新流程配置下发控制平面如 Istio Pilot通过 gRPC 流推送新配置配置验证Envoy 主线程验证配置合法性配置分发通过线程本地存储TLS机制将新配置分发给各工作线程平滑切换新连接使用新配置现有连接继续使用旧配置直到完成旧配置回收当所有相关连接关闭后旧配置被自动回收这个过程实现了真正的热更新不会丢弃任何正在处理的请求。4.3 配置示例dynamic_resources: lds_config: resource_api_version: V3 api_config_source: api_type: GRPC transport_api_version: V3 grpc_services: - envoy_grpc: cluster_name: xds_cluster cds_config: resource_api_version: V3 api_config_source: api_type: GRPC transport_api_version: V3 grpc_services: - envoy_grpc: cluster_name: xds_cluster5. 高级特性与生产实践5.1 熔断与异常检测Envoy 提供多层次的服务保护机制集群级熔断circuit_breakers: thresholds: - priority: DEFAULT max_connections: 1000 max_pending_requests: 1000 max_requests: 1000 max_retries: 3异常点检测outlier_detection: consecutive_5xx: 5 interval: 10s base_ejection_time: 30s max_ejection_percent: 505.2 高级负载均衡Envoy 支持多种负载均衡算法轮询ROUND_ROBIN最少请求LEAST_REQUEST随机RANDOM一致性哈希RING_HASH地域感知LOCALITY_WEIGHTEDlb_policy: LEAST_REQUEST locality_lb_endpoints: - locality: region: us-east lb_endpoints: - endpoint: address: socket_address: address: 10.0.1.1 port_value: 8080 load_balancing_weight: 805.3 可观测性集成Envoy 内置丰富的监控指标和跟踪支持指标导出stats_sinks: - name: envoy.stat_sinks.prometheus typed_config: type: type.googleapis.com/envoy.config.metrics.v3.PrometheusSink metrics_flush_interval: 60s分布式追踪tracing: http: name: envoy.tracers.zipkin typed_config: type: type.googleapis.com/envoy.config.trace.v3.ZipkinConfig collector_cluster: zipkin collector_endpoint: /api/v2/spans6. 性能调优实践6.1 关键性能参数参数建议值说明concurrencyCPU 物理核心数工作线程数量max_connections10000-50000每个工作线程最大连接数max_pending_requests10000待处理请求队列大小buffer_limit_bytes32MB每个连接缓冲区限制max_requests_per_connection1000HTTP/1.1 连接复用次数6.2 内存优化Envoy 内存占用主要来自连接状态每个连接约 16KB缓冲区取决于流量模式集群和端点信息优化建议合理设置连接超时idle_timeout限制大请求/响应的缓冲区使用增量 xDS 减少内存开销6.3 线程模型调优# 查看线程状态 top -H -p $(pgrep envoy) # 监控线程负载 envoy --component-log-level upstream:debug,connection:trace典型性能问题排查路径确认 CPU 使用是否均衡检查是否有热点线程分析连接分布情况评估过滤器性能影响7. 与传统代理的对比7.1 功能对比特性EnvoyNginxHAProxy动态配置xDS API文件重载文件重载协议支持HTTP/1.1, HTTP/2, gRPC, TCPHTTP/1.1, HTTP/2HTTP/1.1, HTTP/2服务发现内置多种方式需扩展有限支持可观测性丰富指标和跟踪基础指标基础指标扩展性WASM, LUALUA有限7.2 性能对比在典型 8 核 16GB 机器上的性能表现场景EnvoyNginxHAProxyHTTP/1.1 QPS50k65k70kHTTP/2 QPS45k40k35k长连接数50k30k40k内存占用中低低延迟低极低极低7.3 选型建议传统 Web 服务Nginx 仍是简单场景的最佳选择微服务架构Envoy 的原生服务网格集成能力无可替代高吞吐 TCP 代理HAProxy 可能提供更好的性能需要动态配置Envoy 是唯一支持全动态更新的方案在实际生产环境中Envoy 的真正价值在于其作为数据平面的完整生态系统特别是在 Kubernetes 和服务网格场景中。其丰富的功能集和动态配置能力使其成为复杂分布式系统的理想选择而传统代理更适合简单的反向代理和负载均衡场景。 
长河君 · 2026/11/2 8:49:25 · 阅读 1.2k Envoy代理架构解析：从L4到L7的动态配置与高性能设计
1. Envoy 架构概览从 L4 到 L7 的代理能力Envoy 作为现代服务网格和数据平面的核心组件其架构设计从根本上颠覆了传统代理的工作模式。与 Nginx 和 HAProxy 这类基于配置文件的代理不同Envoy 采用了完全动态化的 xDS API 驱动架构。这种设计使得 Envoy 能够在运行时动态接收和更新所有配置包括监听器、路由规则、集群定义和服务端点而无需重启进程或重新加载配置。Envoy 的核心架构围绕三个关键概念构建监听器Listener定义 Envoy 监听的网络地址和端口是流量进入 Envoy 的入口点。每个监听器可以配置多个过滤链Filter Chain用于处理不同类型的网络流量。过滤器Filter构成 Envoy 处理逻辑的基本单元分为网络过滤器L4和 HTTP 过滤器L7两大类。过滤器按照配置顺序形成处理管道每个过滤器负责特定的功能如 TLS 解密、协议解析、路由决策等。集群Cluster定义上游服务的逻辑分组包含端点发现、负载均衡、健康检查等配置。Envoy 通过集群配置知道如何将流量转发到后端服务。这种架构使 Envoy 能够灵活应对各种代理场景L4 透明代理在传输层TCP/UDP进行流量转发不解析应用层协议L7 智能路由深入解析 HTTP/1.1、HTTP/2、gRPC 等应用协议实现基于路径、头部等高级路由协议桥接在不同协议版本间转换如 HTTP/1.1 到 HTTP/2 的自动升级2. 线程模型与高性能设计2.1 基于事件的单进程多线程模型Envoy 采用单进程多线程架构主线程负责控制平面操作如 xDS 配置更新而多个工作线程Worker并行处理数据平面流量。每个工作线程运行独立的 libevent 事件循环处理分配给它的所有连接和请求。这种设计的优势体现在无锁并发工作线程间几乎不共享状态每个连接及其相关数据包括请求处理状态始终由同一线程处理资源隔离一个线程的阻塞或异常不会影响其他线程的正常工作线性扩展性能随 CPU 核心数增加而线性提升典型的生产环境配置会根据服务器 CPU 核心数设置工作线程数量例如# envoy.yaml 片段 concurrency: 8 # 通常设置为物理核心数2.2 连接处理流程当新连接到达时内核通过 SO_REUSEPORT 机制将其分配给某个工作线程。该线程随后处理该连接的所有生命周期事件连接接受工作线程从监听套接字接受新连接L4 过滤链依次执行网络层过滤器如 TLS 解密、协议检测L7 处理对于 HTTP 流量HTTP 连接管理器HCM接管执行 HTTP 编解码和 L7 过滤链上游连接根据路由决策建立到上游集群的连接进行负载均衡流量转发在上下游间双向转发数据这种每连接单线程模型避免了传统代理中常见的锁竞争问题是 Envoy 高性能的关键。3. Filter 链Envoy 的可扩展性核心3.1 分层过滤架构Envoy 的过滤链是其灵活性和扩展性的核心机制分为两个层次L4 网络过滤器TLS Inspector检测 TLS 握手信息HTTP Inspector识别 HTTP 协议版本TCP Proxy基本的 TCP 流量转发MySQL ProxyMySQL 协议感知代理HTTP Connection ManagerHTTP 流量处理入口L7 HTTP 过滤器Router最终的路由决策和执行Rate Limit请求速率限制JWT AuthJWT 令牌验证CORS跨域资源共享处理WASM通过 WebAssembly 执行自定义逻辑过滤器按照配置顺序形成处理管道每个过滤器可以中断处理链并直接响应修改请求/响应内容添加/删除头部收集指标数据3.2 典型 Filter 配置示例http_filters: - name: envoy.filters.http.ratelimit typed_config: type: type.googleapis.com/envoy.extensions.filters.http.ratelimit.v3.RateLimit domain: example failure_mode_deny: true timeout: 0.05s rate_limit_service: grpc_service: envoy_grpc: cluster_name: rate_limit_cluster - name: envoy.filters.http.jwt_authn typed_config: type: type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication providers: example_provider: issuer: https://auth.example.com audiences: [api.example.com] remote_jwks: http_uri: uri: https://auth.example.com/.well-known/jwks.json cluster: auth_service cache_duration: 300s - name: envoy.filters.http.router typed_config: type: type.googleapis.com/envoy.extensions.filters.http.router.v3.Router3.3 WASM 扩展机制Envoy 通过 WebAssembly (WASM) 支持运行时动态扩展允许开发者使用多种语言编写过滤器use proxy_wasm::traits::*; use proxy_wasm::types::*; #[no_mangle] pub fn _start() { proxy_wasm::set_http_context(|_, _| - Boxdyn HttpContext { Box::new(AuthFilter) }); } struct AuthFilter; impl Context for AuthFilter {} impl HttpContext for AuthFilter { fn on_http_request_headers(mut self, _: usize) - Action { match self.get_http_request_header(X-API-Key) { Some(key) if key secret-key Action::Continue, _ { self.send_http_response( 403, vec![(Content-Type, application/json)], Some(br#{error:forbidden}#), ); Action::Pause } } } }WASM 过滤器的优势包括安全隔离运行在沙箱中不会导致 Envoy 崩溃多语言支持Rust、Go、C 等热加载无需重启 Envoy 即可更新逻辑4. xDS动态配置的神经系统4.1 xDS 协议族xDS 是 Envoy 动态配置的基础包含一组发现服务服务类型功能描述更新频率LDS (Listener)监听器配置低RDS (Route)HTTP 路由规则中CDS (Cluster)上游集群定义低EDS (Endpoint)集群成员信息高SDS (Secret)TLS 证书中ECDS (Extension)过滤器配置中这些服务可以通过 gRPC 流式传输或 REST 轮询方式获取推荐使用 ADS (Aggregated Discovery Service) 聚合所有 xDS 服务保证配置更新的一致性。4.2 动态配置更新流程配置下发控制平面如 Istio Pilot通过 gRPC 流推送新配置配置验证Envoy 主线程验证配置合法性配置分发通过线程本地存储TLS机制将新配置分发给各工作线程平滑切换新连接使用新配置现有连接继续使用旧配置直到完成旧配置回收当所有相关连接关闭后旧配置被自动回收这个过程实现了真正的热更新不会丢弃任何正在处理的请求。4.3 配置示例dynamic_resources: lds_config: resource_api_version: V3 api_config_source: api_type: GRPC transport_api_version: V3 grpc_services: - envoy_grpc: cluster_name: xds_cluster cds_config: resource_api_version: V3 api_config_source: api_type: GRPC transport_api_version: V3 grpc_services: - envoy_grpc: cluster_name: xds_cluster5. 高级特性与生产实践5.1 熔断与异常检测Envoy 提供多层次的服务保护机制集群级熔断circuit_breakers: thresholds: - priority: DEFAULT max_connections: 1000 max_pending_requests: 1000 max_requests: 1000 max_retries: 3异常点检测outlier_detection: consecutive_5xx: 5 interval: 10s base_ejection_time: 30s max_ejection_percent: 505.2 高级负载均衡Envoy 支持多种负载均衡算法轮询ROUND_ROBIN最少请求LEAST_REQUEST随机RANDOM一致性哈希RING_HASH地域感知LOCALITY_WEIGHTEDlb_policy: LEAST_REQUEST locality_lb_endpoints: - locality: region: us-east lb_endpoints: - endpoint: address: socket_address: address: 10.0.1.1 port_value: 8080 load_balancing_weight: 805.3 可观测性集成Envoy 内置丰富的监控指标和跟踪支持指标导出stats_sinks: - name: envoy.stat_sinks.prometheus typed_config: type: type.googleapis.com/envoy.config.metrics.v3.PrometheusSink metrics_flush_interval: 60s分布式追踪tracing: http: name: envoy.tracers.zipkin typed_config: type: type.googleapis.com/envoy.config.trace.v3.ZipkinConfig collector_cluster: zipkin collector_endpoint: /api/v2/spans6. 性能调优实践6.1 关键性能参数参数建议值说明concurrencyCPU 物理核心数工作线程数量max_connections10000-50000每个工作线程最大连接数max_pending_requests10000待处理请求队列大小buffer_limit_bytes32MB每个连接缓冲区限制max_requests_per_connection1000HTTP/1.1 连接复用次数6.2 内存优化Envoy 内存占用主要来自连接状态每个连接约 16KB缓冲区取决于流量模式集群和端点信息优化建议合理设置连接超时idle_timeout限制大请求/响应的缓冲区使用增量 xDS 减少内存开销6.3 线程模型调优# 查看线程状态 top -H -p $(pgrep envoy) # 监控线程负载 envoy --component-log-level upstream:debug,connection:trace典型性能问题排查路径确认 CPU 使用是否均衡检查是否有热点线程分析连接分布情况评估过滤器性能影响7. 与传统代理的对比7.1 功能对比特性EnvoyNginxHAProxy动态配置xDS API文件重载文件重载协议支持HTTP/1.1, HTTP/2, gRPC, TCPHTTP/1.1, HTTP/2HTTP/1.1, HTTP/2服务发现内置多种方式需扩展有限支持可观测性丰富指标和跟踪基础指标基础指标扩展性WASM, LUALUA有限7.2 性能对比在典型 8 核 16GB 机器上的性能表现场景EnvoyNginxHAProxyHTTP/1.1 QPS50k65k70kHTTP/2 QPS45k40k35k长连接数50k30k40k内存占用中低低延迟低极低极低7.3 选型建议传统 Web 服务Nginx 仍是简单场景的最佳选择微服务架构Envoy 的原生服务网格集成能力无可替代高吞吐 TCP 代理HAProxy 可能提供更好的性能需要动态配置Envoy 是唯一支持全动态更新的方案在实际生产环境中Envoy 的真正价值在于其作为数据平面的完整生态系统特别是在 Kubernetes 和服务网格场景中。其丰富的功能集和动态配置能力使其成为复杂分布式系统的理想选择而传统代理更适合简单的反向代理和负载均衡场景。