【Agent 身份与安全】落地架构与案例框架
IdP + Policy Engine + Agent Gateway + MCP Host 参考架构，Keycloak/OPA/Envoy 能力边界，以及从用户 token 直连到 Gateway 代签的迁移路径。
envoy 标签归档
共 30 篇文章 · 返回首页
【Cilium / eBPF】Gateway API / 南北向边界：与本系列东西向焦点的分工
厘清 Cilium Gateway API 南北向入口与本系列东西向 eBPF 数据面的分工：能力边界、排障坐标分叉、加密与 KPR 组合风险；标明本系列刻意不写的 Gateway 全书内容。
【Cilium / eBPF】选型收束：排除树、开放问题与系列边界关闭
用机制排除树收束 Cilium eBPF 相对 Calico、kube-proxy、Envoy sidecar、Ambient 的选型；回收 Envoy/HAProxy 终章的 eBPF 叶；列出系列级开放问题；以 ADR 友好语言关闭数据面续作边界。
【Envoy 数据面】选型收束：机制排除树与系列开放问题
用机制排除树收束 Envoy 相对 Nginx/HAProxy、sidecar / 节点级 Envoy / eBPF 的选型；回顾阅读路径，并列出 xDS 规模、sidecar 税、Wasm 与 HTTP/3 等系列级开放问题。
Envoy / 数据面代理内核：从 Listener 到 xDS
补齐站内 Envoy 单篇地图与 Mesh/网关选型之间的数据面内核层：Main/Worker、FilterChainMatch、HCM、Cluster/连接池、xDS warming 与 Hot restart，并以排障与选型收束。
【网络工程】网关选型对比：Nginx vs HAProxy vs Envoy vs Traefik
从架构模型、配置方式、协议支持、可观测性、扩展机制和性能特征六个维度，系统对比 Nginx、HAProxy、Envoy 和 Traefik 四大代理/网关，给出基于场景的选型依据。
【Cilium / eBPF】L7 与 Mesh 边界：节点 Envoy、sidecar 与 Ambient
划清 Cilium v1.20 可选 L7 路径：BPF 何时重定向节点 Envoy、与 sidecar / Istio Ambient 的职责边界及失败面；不重写 Ambient 数据面，不把 Cilium 写成全能网格。
【Cilium / eBPF】对照替代路径：Calico、kube-proxy、Envoy sidecar 与 Ambient
从机制排除而非跑分出发，对照 Cilium eBPF 数据面与 Calico、kube-proxy iptables/IPVS、Envoy sidecar、Istio Ambient；链接 k8s-network/12–13、envoy/16、haproxy/14，不做延迟排行榜。
【HAProxy 数据面】选型收束：机制排除树与系列开放问题
用机制排除树收束 HAProxy 相对 Nginx、Envoy、eBPF 的选型；回收本系列阅读路径，并列出 stick-table 规模、QUIC/H3 成熟度、reload 与 Runtime 混用可观测等开放问题。
【Envoy 数据面】数据面全景：从 Listener 到 xDS 的可编程代理内核
定位 Envoy 相对 Nginx/HAProxy 静态配置代理与 Mesh 选型叙事的生态位；钉住请求路径、配置快照、FilterChainMatch、xDS warming、上游资源五条坐标系，并给出与 network/57 的分工及 16 篇阅读路线。
【Envoy 数据面】Main / Worker 与配置快照：事件循环、TLS 与几乎无锁热路径
钉住 Envoy 单进程多线程模型：Main 管 xDS/Admin，Worker 绑连接终生；Event::Dispatcher 与 Thread Local Storage 如何把配置变成每线程可读快照，以及快照解决什么、解决不了什么。
【Envoy 数据面】Listener 与 FilterChainMatch：accept、listener filters 与选链失败
拆解 Envoy accept 之后到 network filter 之前：listener filters 如何 enrich 元数据，FilterChainMatch 如何按 SNI/ALPN/目的地址选链，以及选错 chain 的典型失败模式。
【Envoy 数据面】Network filter 与 Connection：字节流、水印与 TCP Proxy / HCM 分叉
在 FilterChain 已选定之后，说明 network filter 如何在连接字节流上工作、读写水印如何反压、连接生命周期事件，以及 TCP Proxy 相对 HTTP Connection Manager 的路径分叉。
【Envoy 数据面】HCM 与 Codec：HTTP/1·2·3、流生命周期与编解码错误
说明 HttpConnectionManager 如何把字节变成协议无关的 stream 事件；HTTP/1/2/3 codec 的职责边界；流与连接生命周期差异；以及 codec 错误与半关闭语义的失败模式。
【Envoy 数据面】HTTP filter 链与 Router：顺序语义、终端过滤器与重试超时落点
钉住 HCM 内 HTTP filter 的 decoder/encoder 顺序、Router 作为终端过滤器的含义，以及 retry/timeout 挂在路由与 Router 上的语义；说明「Router 之后再挂 filter」为何无效，并为 Cluster 上游选型铺路。
【Envoy 数据面】Cluster 与负载均衡：优先级、Locality、Subset 与健康检查入口
说明 Cluster 作为上游逻辑组的模型，拆开 priority / locality 权重与 subset 元数据匹配如何缩小可选主机集，并给出主动健康检查相对 outlier 的入口分工；为连接池与熔断篇铺路。
【Envoy 数据面】连接池、熔断与 Outlier：路由正确为何仍 503
拆解 HTTP 连接池按协议/线程分池的方式，以及 cluster 级 circuit breaker 与 outlier ejection 如何在路由与 LB 都正确时仍让请求以 503 / overloaded 失败；衔接到 xDS 资源树。
【Envoy 数据面】xDS 资源树：LDS→RDS→CDS→EDS 的依赖、命名与顺序
把 Listener、RouteConfiguration、Cluster、ClusterLoadAssignment（及 SDS）画成依赖树，说明资源命名如何串起引用、warming 与 make-before-break 顺序为何决定短暂黑洞，并衔接到 ADS/SotW/Delta。
【Envoy 数据面】ADS / SotW / Incremental：流、ACK/NACK 与 version/nonce
拆解 xDS 四变体（SotW/Incremental × 分类型流/ADS）、ACK/NACK 与 version/nonce 语义，以及 NACK 后控制面与数据面各自会怎样；钉住 ACK≠流量已切新路由。
【Envoy 数据面】Warming、SDS 与热更新：ACK 为何不等于新路由上量
拆解 Listener/Cluster warming、SDS 证书轮转与 xDS 热更新边界；说明为何协议 ACK 之后流量仍可能走旧路由或 503，并区分 xDS 热更新与 Hot restart。
【Envoy 数据面】Hot restart 与 drain：共享内存、父子交接与连接排空
拆解 Envoy Hot restart 的 UDS RPC、共享内存统计、父子 listen socket 交接与 drain 时间线；对照 xDS-only 热更新，说明何时必须进程级重启。
【Envoy 数据面】扩展边界：Wasm / Lua / ext_authz / Rate limit 挂在哪一层
从请求路径机制位置出发，对照 Wasm、Lua、ext_authz 与 local/global rate limit 的隔离、失败语义与安全边界；外链 Wasm 架构与过载保护，不写 SDK 教程。
【Envoy 数据面】可观测数据面：Stats、Access Log、Tracing 与请求路径耦合
把 Envoy v1.39.0 的 stats、access log、tracing 钉回请求路径与 admin 统计树：各自能归因什么、不能归因什么，以及与可观测性系列的分工边界。
【Envoy 数据面】生产排障：五条坐标系上的失败清单
按第 1 篇五条坐标系拆解无上游、路由未生效、证书/SDS、warming 黑洞、hot restart 与连接泄漏；给出 admin 核对顺序与观测信号入口，不虚构延迟数字。
【身份与访问控制工程】API Gateway、BFF 与边界认证授权
API Gateway 是 IAM 的边界执行点——OAuth Token 的验证、Rate Limit 的绑定、请求级的授权决策都发生在这里。但网关层的认证授权逻辑应该做多厚？BFF（Backend for Frontend）模式把 Session 管理和 Token 兑换从浏览器移回后端后，网关的角色有什么变化？本文从网关层的认证授权架构出发，拆解三种部署模式及其安全边界。
【零信任安全架构】mTLS 大规模部署的工程现实：联邦、故障排查与根 CA 轮换
mTLS 是零信任服务间通信的基石，但从'单集群内启用 mTLS'到'全公司多集群、混合云的 mTLS'，中间隔着 SPIRE 联邦、跨信任域证书验证、mTLS 握手并发瓶颈、连接池协议兼容性和故障排查等工程问题。本文不重复 SPIFFE/SPIRE 基础，而是聚焦大规模部署中才暴露的问题。
【网络工程】Envoy 架构剖析：xDS、Filter Chain 与热重启
系统剖析 Envoy 代理的架构设计：per-Worker 线程模型与事件循环、Filter Chain 的分层扩展机制、xDS 协议族的动态配置发现、热重启的实现原理与零停机更新、Envoy 在 Service Mesh 中的数据面角色，建立 Envoy 从架构到运维的完整理解。
【网络工程】反向代理模式：TLS 终止、透传与重加密
系统解剖反向代理的三种 TLS 处理模式——终止、透传与重加密。从架构对比到 SNI 路由、证书管理、性能影响与安全权衡，给出生产环境的工程选型依据。
【网络工程】代理性能调优：缓冲、Keepalive 与连接复用
系统剖析反向代理层的性能瓶颈与调优方法——Proxy Buffer 内存控制、上下游 Keepalive 参数协调、HTTP/2 连接复用行为、代理层 CPU/内存/连接数监控与容量规划。
【网络工程】健康检查与故障转移：主动探测、被动检测与优雅处理
系统讲解负载均衡中的健康检查工程：主动检查（TCP/HTTP/gRPC）与被动检查的机制差异、假阳性与假阴性的权衡、故障转移的连接排空与优雅下线、Envoy Outlier Detection 的异常点检测，以及健康检查策略的工程设计。