onNewConnection新连接建立，可以决定是否拒绝 • onData处理连接数据到达 • onWrite处理连接数据发送 • L7 HTTP过滤器 • 修改HTTP请求头，限流处理，Lua扩展、WASM扩展、开发调试支持、压缩、元数据交换、 路由等。 • decodeHeaders处理HTTP请求头部 • decodeData处理HTTP请求数据 • decodeTrailers处理HTTP请求结束位置 L4网络过滤器 专门用于处理HTTP请求的网络过滤器，根据协议类型 处理HTTP编解码并调用L7层HTTP过滤器。 envoy.filters.http.lua L7 HTTP过滤器 基于Lua脚本语言，处理HTTP请求及相应，每个Lua运 行时运行在工作线程中。 envoy.filters.http.local_ratelimit L7 HTTP过滤器 基于L4层请求限流，通过令牌桶防止定期时间间隔内 Envoy采用每个工作线程独立处理网络及定时器事件，线程间无数据共享，提升性 能。 过滤器架构 Envoy采用可扩展插件架构实现监听过滤器、L4网络过滤器、L7 HTTP过滤器；同时 支持基于L4/L7 WASM及L7 Lua过滤器的二次扩展。 版权所有©2021，华为技术有限公司，保留所有权利。 本资料所有内容仅供华为授权的培训使用，禁止用于任何其他用途。未经许可，任何人 不得对本资料进行复制、修改、改编、也不得将本资料或其任何部分或基于本资料的衍

r trace: r trace: r trace: r CI Pipeline | CONFIDENTIAL 9 Process flow using Istio Deploy Lua filters (kubectl apply -f ) Capture traces for E2E test requests Create tests & mocks Capture API interactions with lua filters Service A Proxy Proxy Service B Service C Proxy Mesh Dynamics Data Store Deploy: kubectl apply -f Capture using Lua filter All API data + TraceIDs

For an example of a configuration that replaces the Envoy configuration with one that container a Lua webshell, see Appendix C on page 41. • Envoy Configuration Template Rendering: The current implementation options. 40 | Google Istio Security Assessment Google / NCC Group Confidential Appendix C: Appendix: Lua Webshell Annotations As described in finding NCC-GOIST2005-022 on page 36, Istio’s annotations enable configuration was used to override the sidecar’s Envoy proxy configuration with one that contains a Lua request handler for executing arbitrary shell commands in the context of the Envoy proxy process. When

listeners in all sidecars Or Istio gateway The Lua code that Envoy will execute. Which port number the filter will apply to #IstioCon Wise Platform – lua #IstioCon Wise Platform Using envoyfilter to

● Your laptop is not part of the mesh club #IstioCon A dummy proxy for the mesh ● Called by Lua code ● Parses the contract header and makes http call #IstioCon #IstioCon Wait … What about VirtualService

Mutation、负载均衡、断路器、多路复用、流量镜像 等。 ● 基于 MetaProtocol 实现一个自定义协议时，只需要实现 Decode 和 Encode 扩展点的少量代码 (C++)。 ● 提供基于 WASM 和 Lua 的 L7 filter 扩展点，用户可以实现一些灵活的自定义协议处理逻辑，例如认证授权等。 #IstioCon MetaProtocol: 请求处理路径 处理流程： 1. Decoder 解析