使用Istio，是否有办法将入口路由到未运行特使侧车的k8s群集服务？

Question

我正在运行一个带有Windows和Linux虚拟机的Azure AKS群集。

我可以从Istio命名空间中的Pod中按名称卷曲群集服务，因此我知道Pod的TCP工作原理。我认为我需要以某种方式通知我的虚拟服务，不要通过特使代理路由，而只是将请求直接转发到k8s服务终结点——类似于它是网格外部的虚拟机。我确实有终止于网关的TLS——k8s服务本身就在端口80上的集群内部公开。

目前，Windows容器没有特使侧车，但从k8s的角度来看，这只是Istio运行的同一集群中的另一个服务。

http网关。亚马尔

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  annotations:
  name: http-gateway
  namespace: istio-system
spec:
  selector:    
    istio: ingressgateway
  servers:
  - hosts:
    - "*.myapp.com"
    port:
      number: 80
      name: http-80-gateway
      protocol: HTTP
    tls:
      httpsRedirect: true # sends 301 redirect for http requests
  - hosts:
    - "*.myapp.com"
    port:
      number: 443
      name: https-443-gateway
      protocol: HTTPS
    tls:
      credentialName: cert-azure-dns
      privateKey: sds
      serverCertificate: sds
      mode: SIMPLE

虚拟服务。亚马尔

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: myapp-vsvc
  namespace: myapp-ns
spec:
  hosts:
  - foo #external DNS name is foo.myapp.com; gateway host for HTTPS is '*.myapp.com'
  gateways:
  - istio-system/http-gateway
  http:
  - route:
    - destination:
        host: myapp-svc.myapp-ns.svc.cluster.local
        port:
          number: 80

尝试特使穿越我添加了一个ServiceEntry，如下所示：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: myapp-se
  namespace: myapp-ns
spec:
  hosts:
  - myapp-svc.myapp-ns.svc.cluster.local
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  location: MESH_EXTERNAL

服务器响应是一个404，其“server”头值为“istio”。

DNS正在正确解析到网关，并且极致证书有效-因此此错误通常表示我已将其发送到虚拟服务，但尚未路由到群集服务。在Kiali中，我的任何yaml定义都没有Istio验证错误：虚拟服务、服务条目或网关。

我的全球。境外交通政策。模式设置为“允许任何”。

我想知道为集群服务声明“外部网格”是否有问题？Istio知道k8s服务存在，所以它是否试图优先路由到特使侧车，而忽略我的服务条目注册？

对于特定的IP范围，有一个完全绕过特使的选项，如果我能在这个特定的集群服务上设置一个静态IP，这将是一个选项。我想绕过特使进入这个单集群服务。

Answer 1

我可以发誓我以前尝试过这个，但显然我需要提供的只是一个简单的虚拟服务，没有任何目的地规则或服务入口。

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: myapp-vsvc
  namespace: myapp-ns
spec:
  hosts:
  - foo.myapp.com 
  gateways:
  - istio-system/http-gateway
  http:
  - route:
    - destination:
        host: myapp-svc.myapp-ns.svc.cluster.local
        port:
          number: 80

Answer 2

您可以使用serviceentry来执行以下操作：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: httpbin-ext
spec:
  hosts:
  - httpbin.org
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  location: MESH_EXTERNAL

https://istio.io/docs/tasks/traffic-management/egress/egress-control/