Solo-io Gloo 项目中的 HTTP 网关本地限流实践指南

前言

在现代微服务架构中，API 网关作为流量入口，其稳定性和安全性至关重要。本地限流（Local Rate Limiting）是一种保护后端服务免受突发流量冲击的有效手段。本文将详细介绍如何在 Solo-io Gloo 项目中为 HTTP 网关配置本地限流策略。

本地限流基础概念

本地限流是指由单个网关实例独立执行的限流策略，与全局限流（需要外部服务协调）不同，它具有以下特点：

• 低延迟：决策在网关本地完成
• 简单可靠：不依赖外部服务
• 适合第一道防线：在请求进入集群前进行初步限流

Gloo 通过 Envoy 代理实现本地限流，支持两种粒度的控制：

1. 四层（L4）限流：基于网络连接数
2. 七层（L7）限流：基于 HTTP 请求数

环境准备

部署示例应用

我们使用 httpbin 作为演示应用，它是一个方便的 HTTP 请求和响应服务。

apiVersion: v1
kind: ServiceAccount
metadata:
  name: httpbin
---
apiVersion: v1
kind: Service
metadata:
  name: httpbin
  labels:
    app: httpbin
spec:
  ports:
  - name: http
    port: 8000
    targetPort: 80
  selector:
    app: httpbin
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: httpbin
spec:
  replicas: 1
  selector:
    matchLabels:
      app: httpbin
      version: v1
  template:
    metadata:
      labels:
        app: httpbin
        version: v1
    spec:
      serviceAccountName: httpbin
      containers:
      - image: docker.io/kennethreitz/httpbin
        imagePullPolicy: IfNotPresent
        name: httpbin
        ports:
        - containerPort: 80

创建虚拟服务

配置路由规则，将 /status/200 路径映射到 httpbin 服务：

apiVersion: gateway.solo.io/v1
kind: VirtualService
metadata:
  name: httpbin
  namespace: gloo-system
spec:
  virtualHost:
    domains:
    - '*'
    routes:
    - matchers:
      - prefix: /status/200
      routeAction:
        single:
          upstream:
            name: default-httpbin-8000
            namespace: gloo-system

四层(L4)限流配置

四层限流作用于 TCP 连接层面，适合保护服务免受连接数过载。

配置示例

apiVersion: gateway.solo.io/v1
kind: Gateway
metadata:
  name: gateway-proxy
  namespace: gloo-system
spec:
  bindAddress: '::'
  bindPort: 8080
  httpGateway:
    options: 
      networkLocalRatelimit: 
        maxTokens: 1
        tokensPerFill: 1
        fillInterval: 100s
  ssl: false
  useProxyProto: false

参数说明：

• maxTokens: 令牌桶最大容量
• tokensPerFill: 每次补充的令牌数
• fillInterval: 补充间隔时间

测试效果

1. 第一次请求成功
2. 第二次请求直接被拒绝（无 HTTP 响应）
3. 100秒后令牌补充，请求恢复

七层(L7)限流配置

七层限流作用于 HTTP 请求层面，提供更精细的控制。

配置示例

apiVersion: gateway.solo.io/v1
kind: Gateway
metadata:
  name: gateway-proxy
  namespace: gloo-system
spec:
  bindAddress: '::'
  bindPort: 8080
  httpGateway:
    options: 
      httpLocalRatelimit: 
        defaultLimit:
          maxTokens: 1
          tokensPerFill: 1
          fillInterval: 100s
        enableXRatelimitHeaders: true
  ssl: false
  useProxyProto: false

新增功能：

• enableXRatelimitHeaders: 启用限流头信息，便于调试

测试效果

1. 第一次请求成功，响应头包含限流信息：

   x-ratelimit-limit: 1
   x-ratelimit-remaining: 0
   x-ratelimit-reset: 95
   

2. 第二次请求返回 429 状态码
3. 100秒后令牌补充，请求恢复

多级限流策略

Gloo 支持在网关和虚拟服务/路由上设置不同限流策略，形成多级防护。

路由级限流示例

apiVersion: gateway.solo.io/v1
kind: VirtualService
metadata:
  name: httpbin
  namespace: gloo-system
spec:
  virtualHost:
    domains:
    - '*'
    routes:
    - matchers:
      - prefix: /headers
      options: 
        ratelimit: 
          localRatelimit:
            maxTokens: 3
            tokensPerFill: 3
            fillInterval: 30s
      routeAction:
        single:
          upstream:
            name: default-httpbin-8000
            namespace: gloo-system

特点：

• /headers 路径使用独立限流策略（3请求/30秒）
• 其他路径继承网关默认策略（1请求/100秒）

最佳实践建议

1. 分层防护：在网关设置较宽松的全局限制，在关键路由设置更严格的限制
2. 监控头信息：利用 x-ratelimit-* 头信息监控限流状态
3. 渐进式调整：从较宽松的限制开始，根据实际负载逐步收紧
4. 区分流量类型：对API、静态资源等不同类型流量设置不同限流策略

清理资源

完成测试后，可执行以下清理操作：

kubectl delete deployment httpbin
kubectl delete service httpbin
kubectl delete serviceaccount httpbin
kubectl delete virtualservice httpbin -n gloo-system

重置网关配置：

apiVersion: gateway.solo.io/v1
kind: Gateway
metadata:
  name: gateway-proxy
  namespace: gloo-system
spec:
  bindAddress: '::'
  bindPort: 8080
  httpGateway: {}
  ssl: false
  useProxyProto: false

通过本文的实践指南，您应该已经掌握了在 Gloo 中配置 HTTP 本地限流的基本方法。合理使用限流策略可以有效保护您的微服务架构免受流量过载的影响。