【系统架构设计】Service Mesh：Sidecar 的代价与无 Sidecar 的未来
2023 年，某头部电商平台在全量接入 Istio 后发现：每个 Pod 的内存占用增加了 40-70 MB，p99 延迟从 12 ms 上升到 18 ms，整个集群每月多出数万美元的计算成本。这并非个例。CNCF 2024 年度调查显示，超过 60% 的受访企业已在生产环境中使用或评估服务网格（Service Mes…
service-mesh 标签归档
共 15 篇文章 · 返回首页
【Istio 控制面】控制面全景：从 CRD 到 xDS 的翻译与推送内核
定位 Istio 控制面内核相对 Envoy 消费侧、Service Mesh 税文与 Gateway API 资源模型的缺口；给出五条坐标系、16 篇地图与本系列明确不写的范围，钉住 istiod 1.30.3 为主线。
Istio / 网格控制面内核：从 CRD 到 xDS
补齐 Envoy 数据面 xDS 消费侧与 Mesh 选型叙事之间的控制面内核：istiod 推送图、CRD/HTTPRoute 翻译、Ambient 多客户端、NACK/warming 责任与排障对齐。
【Linkerd】控制面全景：缺口、五轴坐标系与 16 篇路线
相对 istio-xds/14 对照篇与 architecture/76 税文，钉清 Linkerd 2.20 非 xDS 控制面缺口；定义注入、identity、destination、策略与数据面五条轴，并强调 native sidecar 与 legacy 路径分列证据包。
【Linkerd】linkerd2-proxy-api：专用 gRPC 与 xDS 寻址差
钉清 Linkerd 2.20 控制面与 linkerd2-proxy 之间的四套专用 gRPC 服务（destination/identity/inbound/tap），说明 per-target Get 流式寻址与 xDS type-subscription 的机制差，以及错误落在 gRPC 层而非 ACK/NACK。
Linkerd / 服务网格控制面：非 xDS 的 destination、identity 与 linkerd2-proxy
补齐站内 istio-xds 对照篇之上的 Linkerd 控制面内核：proxy-injector、identity CSR、destination 按目标流式推送、linkerd2-proxy 数据面，并以排障与相对 istiod/xDS、Ambient、Cilium L4 的选型收束。
【Envoy 数据面】选型收束：机制排除树与系列开放问题
用机制排除树收束 Envoy 相对 Nginx/HAProxy、sidecar / 节点级 Envoy / eBPF 的选型；回顾阅读路径，并列出 xDS 规模、sidecar 税、Wasm 与 HTTP/3 等系列级开放问题。
Envoy / 数据面代理内核：从 Listener 到 xDS
补齐站内 Envoy 单篇地图与 Mesh/网关选型之间的数据面内核层：Main/Worker、FilterChainMatch、HCM、Cluster/连接池、xDS warming 与 Hot restart，并以排障与选型收束。
【Cilium / eBPF】L7 与 Mesh 边界：节点 Envoy、sidecar 与 Ambient
划清 Cilium v1.20 可选 L7 路径：BPF 何时重定向节点 Envoy、与 sidecar / Istio Ambient 的职责边界及失败面；不重写 Ambient 数据面，不把 Cilium 写成全能网格。
【Cilium / eBPF】对照替代路径：Calico、kube-proxy、Envoy sidecar 与 Ambient
从机制排除而非跑分出发，对照 Cilium eBPF 数据面与 Calico、kube-proxy iptables/IPVS、Envoy sidecar、Istio Ambient；链接 k8s-network/12–13、envoy/16、haproxy/14，不做延迟排行榜。
【Kubernetes 网络深度系列】Cilium 深度拆解：eBPF 原生的云原生网络
从 eBPF 数据面到 Identity 安全模型，全面拆解 Cilium 的架构与实现
【Envoy 数据面】数据面全景：从 Listener 到 xDS 的可编程代理内核
定位 Envoy 相对 Nginx/HAProxy 静态配置代理与 Mesh 选型叙事的生态位；钉住请求路径、配置快照、FilterChainMatch、xDS warming、上游资源五条坐标系，并给出与 network/57 的分工及 16 篇阅读路线。
【身份与访问控制工程】服务身份：mTLS、SPIFFE/SPIRE 与 Workload Identity
前 9 篇讨论的都是'人'的身份——用户怎么登录、怎么验证。但微服务世界中，80% 的 API 调用是服务之间的。服务身份（Workload Identity）是整个 IAM 体系的另一半：mTLS 解决'传输层你是谁'，SPIFFE/SPIRE 解决'在平台层你是谁且怎么证明'，JWT Profile for OAuth 解决'我怎么拿到一个服务身份的 Token'。本文从这三条线拆解服务身份的工程实现。
【网络工程】Envoy 架构剖析：xDS、Filter Chain 与热重启
系统剖析 Envoy 代理的架构设计：per-Worker 线程模型与事件循环、Filter Chain 的分层扩展机制、xDS 协议族的动态配置发现、热重启的实现原理与零停机更新、Envoy 在 Service Mesh 中的数据面角色，建立 Envoy 从架构到运维的完整理解。
【eBPF 系列】eBPF + 容器：Cilium 的数据面为什么不再需要 iptables
5000 个 Service、十万条 iptables 规则、一次更新锁五秒——这就是 kube-proxy 的现实。Cilium 用 eBPF Map 的 O(1) 查找干掉了整条 KUBE-SERVICES 链，顺便把 sidecar 也一起埋了。