RST

背景：我们是一个内部 gRPC 微服务集群（约 200 个节点），去年年底上了 mTLS（Istio + 自签 CA，cert-manager 管理），初衷是消除内网明文传输。 现象：每次 CA 侧做证书轮换（周期 24h，cert-man

一、现象：RST 与 Envoy drain 的根本区别 结论先行：你看到的 RST 大概率不是 Envoy 应用层 drain，而是 istio-agent 在 SDS 推送新 SVID 时触发了 xDS 全量推送或 agent 侧重连，

背景 5 年网络工程，现负责一批跨机房 HTTP/1.1 + gRPC over HTTP/2 调用链，单侧稳态存量长连接 2 万上下，新建连接速率峰值 ~800 conn/s，内核 5.15。日常告警体系是 Prometheus + no

背景 K8s 1.28.4 / Cilium 1.15.x（BPF datapath 模式，非 iptables），内核 5.15，约 80 节点。去年为了拿 L7 policy 和 Hubble 可观测把 L7 proxy（"enable

背景 5 年网络工程，现负责一批跨机房 HTTP/1.1 + gRPC over HTTP/2 调用链，单侧稳态存量长连接 2 万上下，新建连接速率峰值 ~800 conn/s，内核 5.15。日常告警体系是 Prometheus + no

«作者视角：3 年网络工程，日常盯系统稳定性与可观测性。这篇不讲「抖动怎么抑制」（社区 @顾望舒 已经用 146 次翻转把 dampening 讲透了，见引用），而是讲翻转发生之后业务侧发生了什么：为什么 ping 全绿、对端服务健康检查全