如何在Front-Envoy中配置对其他服务的速率限制？

我来给你把Front-Envoy的速率限制运行逻辑和Lyft Ratelimit工具的配置方法拆解清楚——这玩意儿一开始确实容易懵，但捋顺各个环节就清晰多了。

Front-Envoy本身并不直接做速率限制的计数和决策，它更像一个「中介」：把请求的关键信息转发给外部的速率限制服务（比如你提到的Lyft Ratelimit），然后根据服务返回的结果决定放行还是拒绝请求。整个流程大概是这样的：

1. 当请求进入Envoy时，它会根据你配置的速率限制规则，提取请求里的关键维度（比如用户ID、请求路径、客户端IP等）。
2. Envoy把这些维度打包成GRPC请求，发给你配置好的Lyft Ratelimit服务。
3. Ratelimit服务查询Redis里的计数，判断当前请求是否超过预设的限制阈值，返回ALLOW或DENY。
4. Envoy根据返回结果处理：允许就转发到后端服务，拒绝就直接返回429 Too Many Requests。

关键配置环节（Front-Envoy侧） #

1. 定义速率限制服务集群 #

首先要告诉Envoy你的Lyft Ratelimit服务在哪里，在bootstrap配置的clusters部分添加：

clusters:
- name: rate_limit_service
  connect_timeout: 0.25s
  type: strict_dns
  lb_policy: round_robin
  load_assignment:
    cluster_name: rate_limit_service
    endpoints:
    - lb_endpoints:
      - endpoint:
          address:
            socket_address:
              address: ratelimit  # 这里填Ratelimit服务的主机名/IP
              port_value: 8081    # Ratelimit默认的GRPC端口

2. 启用HTTP速率限制过滤器 #

在HTTP过滤器链里加入速率限制过滤器，确保它在路由过滤器之前执行：

http_filters:
- name: envoy.filters.http.rate_limit
  typed_config:
    "@type": type.googleapis.com/udpa.type.v1.TypedStruct
    type_url: type.googleapis.com/envoy.extensions.filters.http.rate_limit.v3.RateLimit
    value:
      domain: my_service  # 这个域名要和Ratelimit服务的配置对应
      failure_mode_deny: true  # 如果调用Ratelimit服务失败，直接拒绝请求（避免绕过限制）
      rate_limit_service:
        grpc_service:
          envoy_grpc:
            cluster_name: rate_limit_service
          timeout: 0.25s

3. 配置具体的速率限制规则 #

在路由或虚拟主机层面，定义你要基于哪些维度做限制，比如按用户ID：

virtual_hosts:
- name: my_service
  domains: ["*"]
  routes:
  - match: { prefix: "/" }
    route: { cluster: my_backend_service }
    rate_limits:
    - actions:
      - request_headers:
          header_name: "x-user-id"  # 从请求头提取用户ID
          descriptor_key: "user_id" # 这个key要和Ratelimit服务的规则对应

Lyft Ratelimit是专门为Envoy设计的分布式速率限制服务，基于Redis存储计数，支持多维度、多规则的限制。

1. 基础配置文件（config.yaml） #

这是Ratelimit的核心规则文件，要和Envoy里的domain保持一致。比如我们要给所有用户设置「每秒最多10次请求」的限制：

domain: my_service  # 和Envoy配置的domain完全匹配
descriptors:
- key: user_id  # 和Envoy里的descriptor_key对应
  value: "*"    # *表示匹配所有用户ID
  rate_limit:
    unit: second
    requests_per_unit: 10

如果要区分不同用户组（比如付费用户和普通用户），可以加多条规则：

domain: my_service
descriptors:
- key: user_id
  value: "premium"  # 匹配x-user-id为premium的请求
  rate_limit:
    unit: minute
    requests_per_unit: 100  # 付费用户每分钟100次
- key: user_id
  value: "*"  # 其他所有用户
  rate_limit:
    unit: minute
    requests_per_unit: 30   # 普通用户每分钟30次

2. Redis连接配置 #

Ratelimit依赖Redis存储计数，你可以通过启动参数或者配置文件指定：

方式一：启动命令指定 #

ratelimit --redis_host=your_redis_host --redis_port=6379

方式二：配置文件里添加 #

在config.yaml末尾加上：

redis:
  host: your_redis_host
  port: 6379
  password: your_redis_password  # 如果Redis有密码的话

3. 启动Ratelimit服务 #

直接运行二进制文件即可：

ratelimit --config_path=./ratelimit/config.yaml

验证是否生效 #

用curl模拟请求，比如连续发送11次带x-user-id: test的请求：

for i in {1..11}; do curl -H "x-user-id: test" http://your_front_envoy_address; done

第11次请求应该会返回429 Too Many Requests，说明限制生效了。

内容的提问来源于stack exchange，提问作者Ananthu R V