Kubernetes吊舱在部署istio服务网格后无法发出https请求

Question

我正在探索托管在EKS（亚马逊）上的k8s集群上的istio服务网格。

我尝试在一个新的k8s集群上部署istio-1.2.2，demo.yml文件用于bookapp演示，大多数用例我都理解得很好。

然后，我在我现有的开发集群上使用helm默认配置文件（推荐用于生产）部署了istio，运行了100个微服务，我注意到我的服务可以调用超文本传输协议endpoint，但不能调用外部安全endpoint（https://www.google.com等）。）

我正在得到：

curl：（35）错误：1400410B:SSL例程：CONNECT\u CR\u SRVR\u HELLO:版本号错误

虽然我可以从我的测试集群调用外部httpsendpoint。

为了验证，我检查了出口策略，它是mode:ALLOW_ANY，在两个集群中。

现在，我从我的开发集群中完全删除了istio，并安装了demo.yml进行测试，但现在这也不起作用。

我试图将我的问题与此联系起来，但没有取得任何成功。

https://discuss.istio.io/t/serviceentry-for-https-on-httpbin-org-resulting-in-connect-cr-srvr-hello-using-curl/2044

我不明白我错过了什么或我做错了什么。

注意：我指的是此设置：https://istio.io/docs/setup/kubernetes/install/helm/

Answer 1

这很可能是Istio中的一个错误（例如，请参阅istio/istio#14520）：如果您在集群中的任何位置有任何库伯内特斯服务对象，该对象在端口443上侦听，但其名称以超文本传输协议（而不是https），它将断开所有出站HTTPS连接。

我命中的实例涉及配置AWS负载均衡器来执行TLS终止。库伯内特斯服务需要公开端口443来配置负载均衡器，但它接收未加密的纯HTTP。

apiVersion: v1
kind: Service
metadata:
  name: breaks-istio
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-ssl-cert: arn:...
    service.beta.kubernetes.io/aws-load-balancer-backend-protocol: http
spec:
  selector: ...
  ports:
    - name: http-ssl # <<<< THIS NAME MATTERS
      port: 443
      targetPort: http

当我尝试过这一点时，将名称：更改为https或tcp-https似乎是可行的。这些名称前缀对Istio很重要，但我没有立即发现告诉Istio端口是HTTPS（即使它实际上不提供TLS）与普通的未解释TCP之间有任何功能上的区别。

您确实需要搜索集群，找到侦听端口443的每个服务，并确保端口名不以http- 。