Connection-Pool on homelab89

이중 mTLS Egress — 홉마다 DR 한 벌, 커넥션 설정은 그 홉을 여는 프록시에 박힌다

Sun, 05 Jul 2026 00:00:00 +0000

ABSTRACT

이중 mTLS = egress 경로의 두 홉이 각각 별개의 mTLS로 감싸이는 패턴이다. 홉 1(앱 sidecar→egressgateway)은 메시 mTLS(ISTIO_MUTUAL), 홉 2(egressgateway→외부)는 gateway가 사용자 인증서로 시작하는 mTLS(MUTUAL + credentialName). 머릿속에 넣을 한 문장: DestinationRule은 홉마다 한 벌씩 필요하고, 각 벌의 connectionPool은 “그 홉의 연결을 여는 프록시"의 upstream cluster에 컴파일된다 — 홉 1 설정은 호출자 sidecar에, 홉 2 설정은 gateway에. 이 문서는 각 홉의 DR을 해부하고, 커넥션 설정이 어느 Envoy에서 발효되는지, 두 DR이 싸우는 고전 함정과 튜닝 도출식까지 정리한다. DR 일반론은 DestinationRule 만들기, 값 도출은 Egress TCP 처방전이 정본.

Egress TCP 병목 재현 랩 — 한계를 줄여서 부딪힌다

Wed, 10 Jun 2026 00:00:00 +0000

ABSTRACT

TCP 병목 정본의 한계 수치(Envoy 1024, 포트 28k, conntrack 26만)는 그대로 재현하려면 연결 수만 개가 필요하다. 이 랩의 기법은 반대다 — 한계를 5~20으로 줄여서, 같은 메커니즘을 연결 수십 개로 관찰한다. 재현 4종 각각이 운영에서 만날 실패 시그니처(UO / UF / 무응답 / 정시 절단) 하나씩을 직접 떠올리고, 그 시그니처 구분이 곧 reset 분기 런북이 된다.

Envoy Cluster 해부 — 포트 4-layer, subset, DestinationRule 매핑 (출처: "Istio 운영 노하우" 정리 + Istio 1.30 공식 문서)

Sun, 07 Jun 2026 00:00:00 +0000

이 문서가 다루는 것

Envoy cluster는 “이 트래픽을 어느 upstream으로, 어떻게 보낼까"를 답하는 단 하나의 객체다 — discovery·LB·connection pool·circuit breaker·outlier detection·TLS를 전부 품는다. 그리고 사람이 쓰는 DestinationRule이 istiod를 거쳐 이 cluster의 칸칸으로 컴파일된다. 이 문서는 ① cluster가 무엇을 품는가, ② 그 cluster를 따라가면 같은 포트 숫자가 왜 4개의 다른 layer로 갈라지는가, ③ DestinationRule의 각 필드가 cluster의 어디로 떨어지는가, ④ 그것을 istioctl proxy-config로 추적하는 법을 다룬다.