带TLS终端的Istio入口网关返回503服务不可用

Question

我们希望使用Istio入口网关将https流量路由到httpsendpoint。

我们在入口网关终止TLS流量，但我们的后端服务也使用https。

我有以下清单：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: datalake-dsodis-istio-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - hosts:
    - "gw-hdfs-spark.dsodis.domain"
    - "spark-history.dsodis.domain"
    port:
      name: https-wildcard
      number: 443
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: gw-spark-history-istio-vs
spec:
  gateways:
  - default/datalake-dsodis-istio-gateway
  hosts:
  - "spark-history.dsodis.domain"
  http:
    - match:
      - uri:
          prefix: /
      route:
        - destination:
            host: gateway-svc-clusterip.our_application_namespace.svc.cluster.local
            port:
              number: 8443

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: originate-tls-for-spark-history
spec:
  host: gateway-svc-clusterip.our_application_namespace.svc.cluster.local
  trafficPolicy:
    loadBalancer:
      simple: ROUND_ROBIN
    portLevelSettings:
    - port:
        number: 8443 
      tls:
        mode: SIMPLE

问题很可能是，我们正在向HTTPS后端发送TLS终止的流量（也就是说）HTTP流量。因此，通过Istio访问服务时，我们可能会发现503服务不可用。

访问它的命令是：

curl -vvvv -H"Host: spark-history.dsodis.domain" --resolve "spark-history.dsodis.domain:31390:IP" https://spark-history.dsodis.domain:31390/gateway/default/sparkhistory  -k

我的问题是，我如何告诉Istio使用https将流量路由到后端服务？

提前谢谢。

最好的问候，罗福伯格

Answer 1

正如RonnyForberger在他的评论中提到的那样，这可以通过创建告诉目标服务的流量是连接的TLS来实现。

所以在这种情况下：

1. HTTPS请求在GateWay到HTTP终止