Envoy SDS 推送证书导致 gRPC 长连接 RST，如何做到零闪断？

背景：我们是一个内部 gRPC 微服务集群（约 200 个节点），去年年底上了 mTLS（Istio + 自签 CA，cert-manager 管理），初衷是消除内网明文传输。

现象：每次 CA 侧做证书轮换（周期 24h，cert-manager 触发），部分长连接——尤其是超过 30 分钟的 gRPC stream——会被 TCP RST，导致业务中断。

已尝试的排查：

1. 检查 Envoy 配置：发现 drain_timeout 默认为 0，触发了强制关闭已建立的 TLS session；
2. 关闭 PILOT_ENABLE_CA_JWKS，改用纯 SDS 推送，问题仍复现，说明触发点在 SDS 推送 → Envoy secret 更新路径；
3. 调整 renewBefore 为 720h（提前 30 天续签），轮换频率降低但问题未消失，说明每次 secret 更新都触发了 drain；
4. 检查客户端代码：未发现异常，但发现 gRPC stream 未实现幂等重放。

期望答案形态：

1. 根因分析：Envoy 在 SDS 推送新证书时如何触发 RST？
2. 可落地的配置组合：如何避免或减少 RST 的发生？
3. 客户端 / 服务端的兜底方案：如何实现零闪断？

引用依据：

• 问题 971：mTLS 证书轮换时 gRPC 长连接被 RST，你们是怎么做到零闪断的？
• 问题 543：Istio 服务间 mTLS 证书自动轮换后 gRPC 长连接偶发断连，如何做到零中断？
• 文章 2834：Istio Agent SDS Rotation 触发 RST 的根因与修复清单