Sentinel实现微服务保护

微服务保护

微服务雪崩问题

微服务调用链路中的某个服务故障，引起整个链路中的所有微服务都不可用，这就是雪崩。

解决雪崩问题的常见方式

解决雪崩问题的常见方式有四种:

服务故障情况：

超时处理:设定超时时间，请求超过一定时间没有响应就返回错误信息，不会无休止等待
舱壁模式:限定每个业务能使用的线程数，避免耗尽整个tomcat的资源，因此也叫线程隔离。
熔断降级:由断路器统计业务执行的异常比例，如果超出阈值则会熔断该业务，拦截访问该业务的一切请求。

高并发情况：

流量控制:限制业务访问的QPS，避免服务因流量的突增而故障。

服务保护技术对比

Sentinel

 微服务整合Sentinel

 

簇点链路 

簇点链路:就是项目内的调用链路，链路中被监控的每个接口就是一个资源。默认情况下sentinel会监控SpringMVC的每一个端点(Endpoint)，因此SpringMVC的每一个端点(Endpoint)就是调用链路中的一个资源。流控、熔断等都是针对簇点链路中的资源来设置的，因此我们可以点击对应资源后面的按钮来设置规则: 

 流控模式

在添加限流规则时，点击高级选项，可以选择三种流控模式:
直接:统计当前资源的请求，触发阈值时对当前资源直接限流，也是默认的模式
关联:统计与当前资源相关的另一个资源，触发阈值时，对当前资源限流
链路:统计从指定链路访问到本资源的请求，触发阈值时，对指定链路限流

  流控模式-关联

关联模式:统计与当前资源相关的另一个资源，触发阈值时，对当前资源限流
使用场景:比如用户支付时需要修改订单状态，同时用户要查询订单。查询和修改操作会争抢数据库锁，产生竞争业务需求是有限支付和更新订单的业务，因此当修改订单业务触发阈值时，需要对查询订单业务限流。

 

当/write资源访问量触发阈值时，就会对/read资源限流，避免影响/write资源。

满足下面条件可以使用关联模式:

• 两个有竞争关系的资源
• 一个优先级较高，一个优先级较低 

   流控模式-链路

链路模式:只针对从指定链路访问到本资源的请求做统计，判断是否超过阈值

@sentinelResource【将方法标记为资源】 

流控效果 

流控效果是指请求达到流控阈值时应该采取的措施，包括三种:
快速失败:达到阈值后，新的请求会被立即拒绝并抛出FlowException异常。是默认的处理方式。
warm up:预热模式，对超出阈值的请求同样是拒绝并抛出异常。但这种模式阈值会动态变化，从一个较小值逐渐增加到最大阈值。
排队等待:让所有的请求按照先后次序排队执行，两个请求的间隔不能小于指定时长。

 

流控效果-warm up 

warm up也叫预热模式，是应对服务冷启动的一种方案。请求阈值初始值是threshold/coldFactor，持续指定时长后，逐渐提高到threshold值。而coldFactor的默认值是3. 

冷启动（所谓冷启动，或预热是指，系统长时间处理低水平请求状态，当大量请求突然到来时，并非所有请求都放行，而是慢慢的增加请求，目的时防止大量请求冲垮应用，达到保护应用的目的。【Sentinel中冷启动是采用令牌桶算法实现】） 

 流控效果-排队等待

 当请求超过QPS阈值时，快速失败和warmup会拒绝新的请求并抛出异常。而排队等待则是让所有请求进入一个队列中然后按照阈值允许的时间间隔依次执行。后来的请求必须等待前面执行完成，如果请求预期的等待时间超出最大时长，则会被拒绝。

流控效果有哪些?

• 快速失败:OPS超过阈值时，拒绝新的请求
• warm up:QPS超过阈值时，拒绝新的请求;OPS值是逐渐提升的，可以避免冷启动时高并发导致服务宕机。
• 排队等待:请求会进入队列，按照闯值允许的时间间隔依次执行请求;如果请求预期等待时长大于超时时间，直接拒绝 

 热点参数限流

之前的眼流是统计访问某个资源的所有请求，判断是否超过QPS阈值。而热点参数限流是分别统计参数值相同的请求判断是否超过QPS阈值。 

热点参数限流对部分参数设置例外配置 

注意：

热点参数限流对默认的SpringMVC资源无效，若想生效需在对应资源上添加@sentinelResource注解。

降级和隔离 

虽然限流可以尽量避免因高并发而引起的服务故障，但服务还会因为其它原因而故障。而要将这些故障控制在一定范围避免雪崩，就要靠线程隔离(舱壁模式)和熔断降级手段了。不管是线程隔离还是熔断降级，都是对客户端(调用方)的保护。

 Feign整合Sentinel

Feign整合Sentinel小结： 

Sentinel支持的雪崩解决方案:

• 线程隔离(仓壁模式)
• 降级熔断

Feign整合Sentinel的步骤:

• 在application.yml中配置:feign.sentienl.enable=true
• 给FeignClient编写FallbackFactory并注册为Bean
• 将FallbackFactory配置到FeignClient 

线程隔离 

信号量隔离

信号量隔离是一种常见的隔离策略，其中使用信号量来限制对某个资源的并发访问。它的目的是确保资源的访问是控制在一个可接受的范围内，以避免资源过载或耗尽。
在使用信号量隔离时，可以设置一个固定的访问限制，比如同时只允许一定数量的请求访问资源。当达到限制时，后续的请求将被阻塞或丢弃，直到有可用的资源。

信号量隔离：

优点：轻量级，无额外开销

缺点：不支持主动超时；不支持异步调用

场景：高频调用；高扇出

线程池隔离：

优点：支持主动超时；支持异步调用

缺点：线程的额外开销比较大

场景：低扇出

Sentinel实现线程隔离

线程隔离的两种手段是?

• 信号量隔离
• 线程池隔离

信号量隔离的特点是?

• 基于计数器模式，简单，开销小

线程池隔离的特点是?

• 基于线程池模式，有额外开销，但隔离控制更强

熔断降级 

熔断降级是解决雪崩问题的重要手段。其思路是由断路器统计服务调用的异常比例、慢请求比例，如果超出阈值则会熔断该服务。即拦截访问该服务的一切请求;而当服务恢复时，断路器会放行访问该服务的请求。 

熔断策略

熔断策略-慢调用

断路器熔断策略有三种:慢调用、异常比例、异常数 

慢调用:业务的响应时长(RT)大于指定时长的请求认定为慢调用请求。在指定时间内，如果请求数量超过设定的最小数量，慢调用比例大于设定的阈值，则触发熔断。 

例如:

熔断策略-异常比例、异常数 

异常比例或异常数:统计指定时间内的调用，如果调用次数超过指定请求数，并且出现异常的比例达到设定的比例阈值(或超过指定异常数)，则触发熔断。 

例如

授权规则

授权规则可以对调用方的来源做控制，有白名单和黑名单两种方式。
白名单:来源(origin)在白名单内的调用者允许访问
黑名单:来源(origin)在黑名单内的调用者不允许访问 

自定义异常结果

案例： 

规则持久化

规则管理模式

Sentinel的控制台规则管理有三种模式
原始模式:Sentinel的默认模式，将规则保存在内存，重启服务会丢失
pull模式
push模式

 Sentinel的三种配置管理模式是什么?

• 原始模式:保存在内存
• pul模式:保存在本地文件或数据库，定时去读取
• push模式:保存在nacos，监听变更实时更新