Istio全局限流配置问题：特定IP访问指定路径需立即限流

问题根源 #

原配置存在两个核心问题：

1. EnvoyFilter规则冲突：定义了两组独立的rate_limits条目，会同时向限流服务发送两个独立的限流请求，导致规则互斥。
2. ConfigMap规则覆盖不全：未明确区分"特定IP访问非/xyz路径"的场景，且descriptor顺序未遵循"精确规则优先"的匹配逻辑。

修正后的配置 #

1. 限流规则ConfigMap

apiVersion: v1
kind: ConfigMap
metadata:
  name: ratelimit-config
data:
  config.yaml: |
    domain: frontend-ratelimit
    descriptors:
      # 规则1：特定IP访问/xyz路径，拒绝所有请求
      - key: remote_address
        value: x.x.x.x
        descriptors:
          - key: PATH
            value: "/xyz"
            rate_limit:
              unit: second
              requests_per_unit: 0
      # 规则2：特定IP访问其他路径，100请求/分钟
      - key: remote_address
        value: x.x.x.x
        rate_limit:
          unit: minute
          requests_per_unit: 100
      # 规则3：其他IP访问任意路径，100请求/分钟
      - key: generic_key
        value: "all_ips"
        rate_limit:
          unit: minute
          requests_per_unit: 100

关键改动说明：

• 按匹配优先级排序：最精确的规则（特定IP+特定路径）放在最前面，Envoy限流服务会匹配第一个符合条件的descriptor，不会继续执行后续规则。
• 新增generic_key规则：覆盖所有未被前两个规则匹配的请求（即非目标IP的所有访问）。
• 移除冗余的replaces字段：无需替换其他规则的计数逻辑。

2. EnvoyFilter配置

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: filter-ratelimit-svc
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
    - applyTo: VIRTUAL_HOST
      match:
        context: GATEWAY
        routeConfiguration:
          vhost:
            name: ""
            route:
              action: ANY
      patch:
        operation: MERGE
        value:
          rate_limits:
            - actions:
                # 传递客户端IP维度
                - remote_address: {}
                # 传递请求路径维度
                - request_headers:
                    header_name: ":path"
                    descriptor_key: PATH
                # 传递通用匹配维度
                - generic_key:
                    descriptor_value: "all_ips"

关键改动说明：

• 合并为单组rate_limits条目：所有维度（IP、路径、通用标识）在同一个请求中传递，确保限流服务能正确匹配对应规则。
• 添加generic_key action：对应ConfigMap中的全局规则，确保非目标IP的请求能触发限流逻辑。

生效与验证 #

1. 重启Ingress Gateway使配置生效：

kubectl rollout restart deployment istio-ingressgateway -n istio-system

2. 验证场景：
   • 目标IP访问/xyz：直接返回429 Too Many Requests
   • 目标IP访问其他路径：每分钟请求超过100次后触发限流
   • 其他IP访问任意路径：每分钟请求超过100次后触发限流

内容的提问来源于stack exchange，提问作者Akshar Athreya