无法访问GKE上的库伯内特斯入口（Istio）

Question

我在GKE上设置了Istio（Kubernetes入口模式，而不是Istio网关）。但是，我无法使用curl从外部访问

kubectl get svc -n istio-system | grep ingressgateway

istio ingressgateway LoadBalancer 10.48.11.240 35.222.111.100 15020:30115/TCP，80:31420/TCP，443:32019/TCP，31400:31267/TCP，15029:30180/TCP，15030:31055/TCP，15031:32226/TCP，15032:30437/TCP，15443:31792/TCP 41h

curl 35.222.111.100

Curl：（7）连接到8035.222.111.100端口失败：连接拒绝

这是入口的配置：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: istio
  name: ingress
spec:
  rules:
    - http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: in-keycloak
                port:
                  number: 8080

这是服务的配置：

apiVersion: v1
kind: Service
metadata:
  name: in-keycloak
  labels:
    app: keycloak
spec:
  ports:
    - name: http
      port: 8080
      targetPort: 8080
  selector:
    app: keycloak
  type: ClusterIP

如果我对本地机器（MacOS）上的Docker Desktop使用相同的配置，它可以正常工作。

Answer 1

要使GKE在私有集群上与istio协同工作，必须在GKE上满足两个条件。

1.为了让istio在GKE上工作，您应该按照以下说明为istio准备GKE集群。它还包括开放一个15017端口，以便istio能够工作。

For private GKE clusters

An automatically created firewall rule does not open port 15017. This is needed by the Pilot discovery validation webhook.

To review this firewall rule for master access:

$ gcloud compute firewall-rules list --filter="name~gke-${CLUSTER_NAME}-[0-9a-z]*-master"

To replace the existing rule and allow master access:

$ gcloud compute firewall-rules update <firewall-rule-name> --allow tcp:10250,tcp:443,tcp:15017

2.与istio留档相比，我会说您的入口没有正确配置，下面您可以从您可能尝试使用的留档中找到入口资源：

apiVersion: networking.k8s.io/v1beta1
kind: IngressClass
metadata:
  name: istio
spec:
  controller: istio.io/ingress-controller
---
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: ingress
spec:
  ingressClassName: istio
  rules:
  - host: httpbin.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          serviceName: httpbin
          servicePort: 8000