Envoy

Envoy는 Lyft에서 개발한 고성능 L7(애플리케이션 레이어) 프록시로, 현재 CNCF 졸업 프로젝트입니다. 마이크로서비스 아키텍처에서 서비스 간 통신을 처리하며, Istio, AWS App Mesh 등 서비스 메시의 데이터 플레인으로 광범위하게 사용됩니다.

핵심 특징

• L7 프록시: HTTP/2, gRPC, WebSocket 등 애플리케이션 프로토콜 지원
• 동적 설정: xDS API를 통한 런타임 설정 변경 (재시작 불필요)
• 관측 가능성: 상세한 메트릭, 분산 트레이싱, 구조화된 로깅
• 로드 밸런싱: Round Robin, Least Connections, Ring Hash 등
• 서킷 브레이커: 장애 서비스 격리로 연쇄 실패 방지
• TLS 종료/시작: 양방향 TLS(mTLS) 지원

Envoy 아키텍처

• Listener: 다운스트림 연결을 수신하는 엔드포인트
• Filter Chain: 요청/응답 처리 파이프라인
• Cluster: 업스트림 서비스 그룹
• Route: 요청을 적절한 클러스터로 매핑

envoy.yaml - 기본 프록시 설정

# envoy.yaml - HTTP 리버스 프록시 설정
static_resources:
  listeners:
    - name: listener_0
      address:
        socket_address:
          address: 0.0.0.0
          port_value: 8080
      filter_chains:
        - filters:
            - name: envoy.filters.network.http_connection_manager
              typed_config:
                "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
                stat_prefix: ingress_http
                codec_type: AUTO
                route_config:
                  name: local_route
                  virtual_hosts:
                    - name: backend
                      domains: ["*"]
                      routes:
                        # API 라우트
                        - match:
                            prefix: "/api/"
                          route:
                            cluster: api_service
                            timeout: 30s
                        # 정적 파일
                        - match:
                            prefix: "/"
                          route:
                            cluster: frontend_service
                http_filters:
                  - name: envoy.filters.http.router
                    typed_config:
                      "@type": type.googleapis.com/envoy.extensions.filters.http.router.v3.Router

  clusters:
    - name: api_service
      connect_timeout: 5s
      type: STRICT_DNS
      lb_policy: ROUND_ROBIN
      load_assignment:
        cluster_name: api_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address:
                      address: api-server
                      port_value: 3000
      # 헬스체크
      health_checks:
        - timeout: 3s
          interval: 10s
          unhealthy_threshold: 3
          healthy_threshold: 2
          http_health_check:
            path: /health
      # 서킷 브레이커
      circuit_breakers:
        thresholds:
          - priority: DEFAULT
            max_connections: 1000
            max_pending_requests: 1000
            max_requests: 1000
            max_retries: 3

    - name: frontend_service
      connect_timeout: 5s
      type: STRICT_DNS
      lb_policy: ROUND_ROBIN
      load_assignment:
        cluster_name: frontend_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address:
                      address: frontend
                      port_value: 80

admin:
  address:
    socket_address:
      address: 0.0.0.0
      port_value: 9901

Rate Limiting 설정

# Rate limit 필터 설정
http_filters:
  - name: envoy.filters.http.ratelimit
    typed_config:
      "@type": type.googleapis.com/envoy.extensions.filters.http.ratelimit.v3.RateLimit
      domain: my_domain
      stage: 0
      rate_limit_service:
        grpc_service:
          envoy_grpc:
            cluster_name: ratelimit_service
        transport_api_version: V3
  - name: envoy.filters.http.router

# Route level rate limit
routes:
  - match:
      prefix: "/api/"
    route:
      cluster: api_service
      rate_limits:
        - actions:
            - request_headers:
                header_name: "x-api-key"
                descriptor_key: "api_key"

mTLS 설정

# TLS 리스너 설정
filter_chains:
  - filter_chain_match: {}
    transport_socket:
      name: envoy.transport_sockets.tls
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
        require_client_certificate: true
        common_tls_context:
          tls_certificates:
            - certificate_chain:
                filename: /etc/certs/server.crt
              private_key:
                filename: /etc/certs/server.key
          validation_context:
            trusted_ca:
              filename: /etc/certs/ca.crt

• Envoy 공식 문서 - 전체 기능 레퍼런스
• Envoy Learning Path - 튜토리얼 및 예제
• Envoy GitHub - 소스 코드
• CNCF 사례 연구 - 기업 도입 사례