Solo-io/gloo项目中的本地速率限制技术解析

什么是本地速率限制

本地速率限制是Gloo Gateway提供的一种粗粒度的流量控制机制，主要用于作为第一道防线，限制转发到速率限制服务器的请求数量。该功能需要Gloo Gateway 1.16或更高版本支持。

在典型的架构中，如果没有本地速率限制，所有请求都会直接转发到速率限制服务器，在那里根据全局速率限制设置决定是否允许请求通过。但在遭受攻击时，大量请求可能导致速率限制服务器过载甚至崩溃。

本地与全局速率限制对比

特性	本地速率限制	全局速率限制
目的	保护速率限制服务器的第一道防线	基于请求组件(如头信息或查询参数)对集群内目标的精细控制
执行者	Envoy进程或Pod	速率限制服务器
粒度	粗粒度(网关/虚拟服务/虚拟主机/路由级别)	细粒度(包括速率限制动作和描述符)
服务器需求	不需要	需要
限制范围	每个Envoy实例独立计数	所有Envoy实例共享计数
认证阶段	仅预认证	预认证和认证后

工作原理与架构

本地速率限制在组成网关的每个Envoy实例中执行。例如，如果有5个Envoy实例，每个配置为每秒10个请求的限制，那么系统总共允许每秒50个请求(5×10)。而在全局速率限制中，这个限制是共享的，总共只允许每秒10个请求。

实现上，每个Envoy实例或Pod配置有一个令牌桶：

1. 允许请求需要从桶中获取一个令牌
2. 令牌桶会按照配置定期补充
3. 如果没有可用令牌，连接立即关闭并返回429状态码

当令牌可用时，请求会被转发到速率限制服务器进行全局速率限制检查，只有通过本地和全局限制的请求才会最终转发到上游目标。

速率限制优先级顺序

本地速率限制可以配置在多个层级，优先级顺序如下：

网关 > 虚拟服务 > 虚拟主机 > 路由

高层级的限制会自动应用于所有下级资源。如果下级资源定义了自己的限制，则会覆盖上级的限制。

网关上的本地速率限制类型

HTTP网关

1. HTTP本地速率限制：

   • 通过httpGateway.options.httpLocalRatelimit设置
   • 在客户端与网关完成TLS握手后执行
   • 可启用enableXRatelimitHeaders添加速率限制头信息

2. 网络本地速率限制：

   • 通过httpGateway.options.networkLocalRatelimit设置
   • 在TLS握手前执行(Layer 4级别)
   • 不会返回HTTP响应码或头信息

注意：如果同时配置HTTP和网络本地速率限制，将执行更严格的限制。

TCP网关

通过tcpGateway.options.localRatelimit设置，对所有Layer 4流量实施本地速率限制。

当前限制

1. 只能在预认证阶段执行
2. 不能在虚拟服务中使用ratelimitRegular.localRatelimit选项(这是认证后限制)
3. 不能在虚拟服务中同时设置ratelimitEarly.localRatelimit和ratelimit.localRatelimit

本地速率限制是保护系统免受流量冲击的重要工具，合理配置可以显著提高系统的稳定性和可用性。