11月5日，2022 杭州 云栖大会-云原生峰会现场，阿里巴巴研究员、阿里云智能云原生运用平台总经理丁宇宣布：云原生网关 Higress 正式开源，Higress 是一款规范化、高集成、易扩展、热更新的云原生网关。
Higress 源自阿里巴巴内部电商、买卖等中心出产场景的实践沉积，遵从 Ingress/Gateway API 规范，将流量网关、微服务网关、安全网关三合一，并在此基础上扩展了服务办理插件、安全类插件和自定义插件，高度集成 K8s 和微服务生态，包括 Nacos 注册和装备、Sentinel 限流降级等才能，并支撑规则改变毫秒级生效等热更新才能。
Higress的宿世今生
诞生背景
Higress 的创建源于阿里内部的“本地日子战争”，该战争始于“支付宝 2020 协作伙伴大会”，在此大会上支付宝宣布升级为数字日子开放平台。该战争的中心技能方针，是完成阿里巴巴事务域与蚂蚁事务域之间 RPC 直接调用，但因阿里巴巴与蚂蚁事务域网络是阻隔的，即网络是不通的，很天然想到运用网关来处理此问题。
技能选型
运用网关来处理阿里巴巴与蚂蚁跨事务域 RPC 互通问题，首先要对网关做技能选型。
信任咱们也都或多或少知道，阿里巴巴开源的反向署理程序 Tengine。Tengine 在阿里内部一致接入网关 AServer 中被运用，咱们团队就是担任其开发运维，一起咱们团队也在担任阿里巴巴 Service Mesh 的落地，不论是对 Tengine 仍是对 Istio + Envoy 这套架构都比较熟悉。
在选型时，尽管也调研过一些其他的软件，但考虑到网关对功用、可靠性的高要求，在结合咱们本身的网关运维经验，决定看看 Tengine 与 Envoy 是否可以满意咱们的事务需求，在对比时咱们罗列了四个关键关键，其对比如下：
这里提一下“为什么咱们以为装备的热更新，是十分重要的”？
Tengine/Nginx 的装备更新需求 reload，reload 需求重启 worker 进程，重启时会引起流量抖动，对长衔接影响尤为显着。在网关的集群规划十分大时，更是不能随意的做 reload，这时就会引发一个矛盾点：事务向网关提交装备后，期望能快速验证，但受限于 reload 机制和稳定性要求，无法满意事务快速验证与快速试错的诉求。
现在已经有许多干流运用挑选选用长衔接，HTTP 1.1 一般默许会运用 Keep-Alive 去保持长衔接，后续 HTTP 2 以及 HTTP 3 也是如此，跟着网络协议的开展，未来运用长衔接会变得更加普遍。而装备热更新天然对长衔接十分友爱。
如何处理这点呢？
一是选用两层网关，即流量网关 + 事务网关；二是完成网关原生支撑装备热更新。除了对比不同计划的优劣势，咱们也调研了 Envoy 作为网关在业界的趋势，结论是现在 Envoy 作为 K8s 中的 Ingress Provider 增加最快的现实（Ingress Provider 指 K8s Ingress 规范详细完成，因 K8s Ingress 本身仅仅规范定义，是 K8s 下外部流量进入集群内部的网关规范定义），咱们终究挑选了 Envoy 来完成两层网关。
开展进程
Higress 从开端社区的 Istio + Envoy，到经历阿里巴巴内部的自研扩展，再到大规划生成验证，终究完成商业化产品的发布，其整个进程介绍如下：
下面的章节会对 Higress 的各个阶段做进一步的详细阐明。
Higress(2020.05-2020.11)
此阶段的大方针是为了满意集团与蚂蚁 RPC 互通，下降全链路的 RT，处理原 s2s 链路因 RT 过高带来的用户体验差及无法满意更多集团与蚂蚁协同场景要求。s2s 链路是走公网链路，协议选用 HTTP。与蚂蚁互通网关的架构图如下，这里以上海云单元为背景阐明。
上图主要展示的是集团侧的架构，终究选用了 Istio+Envoy 的计划，在部署的时分又分成了出口集群和入口集群。之所以拆成两个集群，一方面是其时两头互访，蚂蚁调集团的流量要远远大于集团调蚂蚁的流量，上下行特别不平等；另一方面是分开之后两个集群可以各自维护，稳定性会更好。
Higress 从开端立项到完成第一期研发，网关改造的中心工作差不多两个人投入了一个半月左右，其间还涉及到许多网络、安全等协调部分的工作。Higress 架构并没有完全依照社区计划来规划，社区版本中装备改变和服务发现运用的是 K8s，在阿里内部巨大的服务规划及装备量下社区原生计划不论在稳定性及功用上都无法满意要求，因而阿里这套计划要点对服务发现、装备存储组件做了替换，及优化 xDS 推送功用。
Higress 上线后，顺利达成了开端的事务诉求，现在蚂蚁互通网关链路已经成为集团与蚂蚁互通的首选计划，一些支付链路也迁移到了该计划，例如充值中心等，详细达到的成果简述如下：
- 蚂蚁调用集团链路相比原链路 RT 下降 50%，网关本身 RT 0.3ms。
- Higress 成功复制到集团与蚂蚁的音讯互通，现在集团与蚂蚁的音讯互通也是走的 Higress Triple 链路。
- 微服务网关从 5 月份上线，现在已经成为集团与蚂蚁东西向流量的中心链路，飞猪、手淘、口碑、饿了么、1688、部分导购运用、产品库、评价等事务已成功上线，而且满意支撑了 618 大促、支付宝 717 夏至大促。
- 在 2020 双 11 大促每秒 数十万 的请求流量，满意支撑了双 11 城市日子狂欢节的互动会场。
- 在技能侧完成了 Higress 在东西向流量分发的探究。
Higress(2020.12-2021.10)
跟着阿里巴巴上云战争的推动，越来越多的场景找到咱们。比如云上云下事务互通，由于 Tengine 服务办理弱导致阿里内部许多二层微服务网关需求收敛，这就需求从事务上做 Tengine+Envoy 两层网关的演进，承担南北向网关流量。在 2020 年 12 月份，团队开端了 Higress 架构的持续演进，以优酷场景为例的演进进程如下图：
Higress 南北向的架构图如下：
在两层架构中，Higress 网关更多承担了微服务网关和微服务管理的需求，和 Tengine 流量网关完成了整合。在这个进程里，团队支撑优酷内部多个二层微服务网关一致的工作，大幅提高了功用和运维效率。
在这一阶段，Higress Gateway 完成了东西向、南北向全域流量的调度分发，东西向上不只支撑跨事务域的蚂蚁 RPC 互通，也扩展到了混合云的云上云下 RPC 互通场景，掩盖钉钉文档、阿里视频云、达摩院的店小蜜、才智数字人等。该阶段的事务大图如下（云上云下互通场景，以钉钉为例阐明）：
跟着 Higress Gateway 掩盖的事务场景越来多，在跟优酷持续协作的进程中，两边团队不约而同提出了一个设想：Tengine Gateway（承担流量网关人物） + Higress Gateway（承担微服务网关人物）的两层网关是否可以合并为一层 Higress Gateway？
咱们对这一主意做了调研，答案是必定的，而且其时咱们也协作规划了新的架构计划，如下图：
尽管由于各种各样的原因，这个计划终究没有跟优酷持续往下推动。但这个演进方向让团队明确了网关新的开展趋势：在以 K8s 主导的容器化背景下，由于 K8s 集群内外网络的天然阻隔性，用户需求一款统筹高功用与安全性，以及强壮服务管理才能的入口网关。这也为后续团队将技能沉积变成云产品、推动 Higress 的诞生打下了基础。
2021 年，阿里巴巴开启了中间件三位一体战争，方针是用云产品支撑集团事务。咱们开端将孵化老练的 Higress 技能沉积为云产品，即现在阿里云上供给的 MSE 云原生网关，一方面面向广大的公有云用户供给保管的网关服务，另一方面也对内服务集团。MSE 云原生网关的技能架构简图如下：
Higress(2021.11-2022.11)
跟着 Higress 成为云产品服务于更多外部用户，咱们逐步发现用户对 Higress 提出了更高的要求，其间反应较多的大的需求点是插件扩展、Waf 防护、多注册中心、Nginx Ingress 注解兼容以及 HTTP 转 Dubbo 协议，当然也有许多小的需求点在此就不逐个列出，因而该阶段咱们要点发力在上述用户反应的高频需求。
Higress 供给的插件市场，其一阶段支撑 Wasm 插件，满意寻求高功用、高安全的用户对网关的扩展诉求，二阶段会支撑 Lua 插件，满意传统用户运用 Lua 的扩展的诉求，如 Nginx 用户，三阶段会支撑进程外插件，满意多语言用户诉求，尤其是 Java 用户因现阶段 Java 社区对 WebAssembly 支撑尚不完善但又期望对网关进行扩展的诉求。
Higress 也支撑了 Nginx Ingress 注解滑润迁移的才能，满意部分用户期望迁移到 Higress 但又不期望重新装备网关的诉求，一起 Higress 打破了 Nginx Ingress 只能关联单个 K8s 集群的限制，支撑关联多个 K8s 集群，即可以将 Higress 作为一致接入网关运用，一起又可以享用 Ingress 的盈利。
对于传统运用 Dubbo 的微服务用户期望运用原生 RPC 方法露出对外服务，但一般供给外部访问的服务以运用 HTTP 为主，为了帮助 Dubbo 用户下降服务露出的开发成本，Higress 供给了 HTTP 转 Dubbo 协议功用，且经过 Console 为用户供给白屏化的装备方法，某客户运用后反应“这是业界完成度最高的 HTTP 转 Dubbo 协议”功用。
在云原生的浪潮下，开源已经成为软件开展的必然趋势与快速途径，因为社区的力气是十分强壮的。
因而咱们将这套经过内部实践沉积下来的网关计划 Higress 正式对外开源，以 Kubernetes Ingress 网关为关键带来了流量网关与微服务网关融合的可能性，结合阿里内部实践沉积 Higress 完成了流量网关 + 微服务网关 + 安全网关三合一的高集成才能，一起深度集成了 Dubbo、Nacos、Sentinel 等，可以帮助用户极大的下降网关的部署及运维成本，而且才能不打折。
Higress未来展望
尽管现在云原生已经成为必然趋势，但现实是有很大一部分用户处于迁移上云的进程中，在从传统架构向以 Kubernetes 为代表的容器化云原生架构迁移，可预见这在未来很长一段时间会一向持续，因而 Higress 后续会要点支撑非 Kubernetes 部署架构，以 Higress + Nacos 的组合形式为用户供给最小集运行环境，一起满意用户服务注册、装备办理、微服务管理的诉求。
在以 Kubernetes 为代表的容器化云原生方向，咱们在兼容好现有 Ingress 规范的基础上，会要点发力下一代的 Ingress 规范 Gateway API，运用 Gateway API 带来的关键打通南北向与东西向的全域流量调度，帮助用户运用一套架构架构一起办理外部与内部流量，下降部署运维成本、提高开发及运维效率。
搭把手
国内云原生网关的开源项目并不多，Higress 今日刚开源，看看文章底部的阅览量，您就是这条街 Topxxxx 重视 Higress 的。假如再走近一步，例如贡献一份文档、提交一段代码，您就有可能成为 Higress 的第一批 Contributor 乃至 Committer。现在，咱们建立了 1 个钉群和 1 个微信群，加入咱们，联络群主或群管，共建云原生网关吧。
