通过Envoy连接WebSocket服务器遇500错误：stream_idle_timeout等问题咨询

一、WebSocket连接500错误的原因 #

1. ext_Auth_error错误 #

• 外部认证服务故障：高负载下认证服务可能出现响应超时、内部逻辑错误，导致Envoy无法完成认证流程，返回500错误。
• Envoy与认证服务通信异常：网络抖动、认证服务连接池耗尽，Envoy无法建立或维持到认证服务的连接，触发认证失败。
• 认证协议不兼容：Envoy发送的认证请求格式、参数不符合认证服务要求，服务返回错误后被Envoy标记为ext_Auth_error。

2. stream_idle_timeout（已按时发送消息仍触发） #

• 心跳/消息未被识别为活跃流量：如果你的WebSocket心跳是ping/pong帧，需确认Envoy是否配置了websocket_ping_pong参数，未开启的话这类帧不会重置空闲超时定时器；另外二进制业务帧也可能因配置问题不被视为有效活跃流量。
• 连接级超时优先级更高：检查Envoy配置中是否设置了connection_idle_timeout，若该值小于stream_idle_timeout，会优先触发连接超时，表现为流超时错误。
• Envoy高负载导致定时器偏差：当Envoy处于高负载时，事件循环延迟可能导致定时器触发不准确，误判连接空闲超时。
• 后端WebSocket服务器主动断连：后端服务在高负载下主动断开连接，Envoy会将这类断连转译为stream_idle_timeout错误返回给客户端。

二、外部认证服务的限流与连接拒绝问题 #

• 高负载下是否拒绝连接：取决于认证服务的具体实现，多数生产级认证服务在负载过载时会启动保护机制，包括拒绝新连接、返回5xx错误，避免服务崩溃。
• 默认限流机制：Envoy自身对外部认证服务的调用没有默认全局限流，但可通过配置rate_limit过滤器实现对认证请求的限流；而认证服务自身通常会自带默认限流策略（比如基于QPS、并发连接数），这是服务自身的内置保护，不属于Envoy的默认配置。

内容的提问来源于stack exchange，提问作者TeeeeJ