Linux 内核、存储与网络、可观测性、系统架构与大模型基础设施的工程笔记：机制拆解、踩坑复盘与可核对证据，少空谈。
共 7 篇文章 · 返回首页
拆解 PeerAuthentication 如何落到入站 filter chain 的 mTLS 要求、AuthorizationPolicy 如何编译成 Envoy RBAC filter 的 permission/principal，以及 istiod CA 签发证书后 istio-agent 作为本地 SDS server 如何把 SPIFFE 身份证书喂给 Envoy；策略语义不重复展开，见零信任系列。
把 Listener、RouteConfiguration、Cluster、ClusterLoadAssignment（及 SDS）画成依赖树，说明资源命名如何串起引用、warming 与 make-before-break 顺序为何决定短暂黑洞，并衔接到 ADS/SotW/Delta。
拆解 Listener/Cluster warming、SDS 证书轮转与 xDS 热更新边界；说明为何协议 ACK 之后流量仍可能走旧路由或 503，并区分 xDS 热更新与 Hot restart。
按第 1 篇五条坐标系拆解无上游、路由未生效、证书/SDS、warming 黑洞、hot restart 与连接泄漏；给出 admin 核对顺序与观测信号入口，不虚构延迟数字。
拆解 Redis 7.4/8.x 的 redisObject 多态层与 SDS 二进制安全字符串：type/encoding/refcount 如何分工、字符串四种编码的升级路径、OBJECT ENCODING 能读到什么，以及紧凑表示与统一抽象之间的工程争论。
补齐内存 KV / 缓存服务器内核层：从 ae 事件循环与 redisObject 多态编码，到 TTL/maxmemory 近似淘汰、RDB/AOF 持久化语义，再到复制、Cluster hash slot 与 Memcached 对照。
mTLS 是零信任服务间通信的基石，但从'单集群内启用 mTLS'到'全公司多集群、混合云的 mTLS'，中间隔着 SPIRE 联邦、跨信任域证书验证、mTLS 握手并发瓶颈、连接池协议兼容性和故障排查等工程问题。本文不重复 SPIFFE/SPIRE 基础，而是聚焦大规模部署中才暴露的问题。