9901 是什么
9901 是 Envoy 代理内置的管理接口端口：/stats、/clusters、/config_dump 等端点提供运行统计、集群状态与完整配置转储，Istio 数据面的每个边车代理都带它。它默认绑定 127.0.0.1，一旦改成全网卡监听，后果立竿见影：配置转储会导出全部路由与集群信息，部分端点还能直接影响代理行为。
基本信息
| 服务 | Envoy admin（默认 9901） |
|---|---|
| 协议 | TCP，HTTP |
| 用途 | 运行统计、配置转储与健康检查 |
| 安全等级 | 仅本机或受控运维通道 |
| 默认绑定 | 127.0.0.1 |
典型使用场景
- 数据面排障：查看路由与集群的实时状态
- 统计核对：确认请求量、错误率与连接池指标
- 配置确认：核对当前生效的路由与集群配置
- 健康检查：通过专用端点判断代理状态
- 服务网格运维：多边车环境下批量核对状态
- 暴露面收敛：禁止把管理口改为全网卡监听
常用端点（本机）
常用端点（本机）
curl -s http://127.0.0.1:9901/server_info | head -c 300 # 版本与运行信息
curl -s http://127.0.0.1:9901/stats | head -20 # 运行统计
curl -s http://127.0.0.1:9901/clusters | head -20 # 集群与上游状态
ss -lntp | grep 9901 # 确认绑定地址是否为回环常用端点与信息量
| 端点 | 内容 | 敏感度 |
|---|---|---|
| /server_info | 版本与运行信息 | 低 |
| /config_dump | 全部路由与集群配置 | 高，含内部拓扑 |
| /stats | 运行统计指标 | 中，暴露调用量与错误分布 |
把管理口监听地址改为全网卡，等于把代理的配置与统计公开：任何可达主机都能读取内部拓扑，部分端点还会影响代理行为。
容器与网格环境下，边车管理口常被用作探针入口，排查前先确认是谁在访问、目的是否合理。
配置转储包含上游集群与路由匹配规则，属于高价值信息，导出的文件要按敏感数据处理。
远程排障建议通过端口转发或临时隧道访问管理口，而不是修改监听地址：前者可撤销，也不会留下长期暴露面。