具有相互tls的外部数据库的Istio ServiceEntry无法连接到数据库服务

Question

我使用istio 1.0.2版本与istio-demo-auth.yaml，我有一个mssql db外面的k8s群集，我想连接它形成istio注入服务。我尝试使用此消耗外部TCP服务博客，但服务无法连接到外部mssql实例。服务条目如下：

---
apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: mssql-entry
  namespace: multitenancy
spec:
  hosts:
  - mssql-master
  addresses:
  - $outside-db-ip/32
  ports:
  - number: 2433
    name: db
    protocol: TCP
  location: MESH_EXTERNAL
  resolution: STATIC
  endpoints:
  - address: $outside-db-ip
    ports:
      tcp: 2433

---
apiVersion: v1
kind: Service
metadata:
  name: mssql-master
  namespace: multitenancy
  labels:
    app: v1
spec:
  ports:
    - port: 2433
      targetPort: 2433
      protocol: TCP
---
apiVersion: v1
kind: Endpoints
metadata:
  name: mssql-master
  namespace: multitenancy
subsets:
  - addresses:
    - ip: $outside-db-ip
    ports:
    - port: 2433
      protocol: TCP

服务日志显示“预登录错误：主机mssql-master端口2433读取预登录响应错误：连接重置ClientConnectionId：”，似乎根本没有到达mssql。如何为相互tls服务配置外部集群数据库？

Answer 1

正如@SmileSees提到的，通过为目标mssql实例禁用相互TLS身份验证，问题已经得到解决。由于数据库实例位于Istio网格之外，并且没有为该服务注入任何sidecar特使，因此未建立TLS安全连接。

可以考虑使用Spffe框架来保护跨异构环境的服务。

供进一步研究参考的链接：

1. 相互TLS认证