配置istio后访问服务健康检查端口

Question

因此，我们正在使用全局MTL部署istio 1.0.2，目前进展顺利。对于健康检查，我们为服务添加了单独的端口，并根据文档进行了配置：

https://istio.io/docs/tasks/traffic-management/app-health-check/#mutual-tls-is-enabled

我们的应用程序端口现在位于 8080 上，运行状况检查端口位于 8081 上。完成此操作后，Kubernetes能够进行运行状况检查，并且服务似乎运行正常。

但是，我们的监控解决方案无法触及运行状况检查端口。

监控应用程序也位于kubernetes中，目前在网格之外。上述文件说:

由于Istio代理仅拦截在containerPort字段中显式声明的端口，因此无论是否启用Istio双向TLS，8002端口的流量都会绕过Istio服务器。e

这就是我们如何配置它的。所以在我们的例子中，8081应该在网格之外：

livenessProbe:
  failureThreshold: 3
  httpGet:
    path: /manage/health
    port: 8081
    scheme: HTTP
  initialDelaySeconds: 180
  periodSeconds: 10
  successThreshold: 1
  timeoutSeconds: 1
name: <our-service>
ports:
- containerPort: 8080
  name: http
  protocol: TCP
readinessProbe:
  failureThreshold: 3
  httpGet:
    path: /manage/health
    port: 8081
    scheme: HTTP
  initialDelaySeconds: 10
  periodSeconds: 10
  successThreshold: 1
  timeoutSeconds: 1

但是，我们无法从网格外的另一个吊舱访问8081。

例如：

curl http://<our-service>:8081/manage/health
curl: (7) Failed connect to <our-service>:8081; Connection timed out

如果我们从网格内的另一个pod尝试，istio会抛回404，这可能是意料之中的。

我试图像这样玩目的地规则：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: <our-service>-health
spec:
  host: <our-service>.namepspace.svc.cluster.local
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 8081
      tls:
        mode: DISABLE

但这只会扼杀所有与服务的连接，包括内部连接和通过入口网关的连接。

Answer 1

根据Istio官方文档，端口8081将无法通过Istio Envoy，因此服务网格之外的其他Pod将无法访问，因为Istio代理仅确定通过Pod服务传输的＜code＞containerPort

如果您在Pod之间构建不带TLS身份验证的Istio服务网状网络，则可以选择使用相同的端口作为到Pod服务的基本网络路由和就绪性/活性探测。

但是，如果将端口8001用于常规流量和活动性探测，则在启用双向TLS时，健康检查将失败，因为HTTP请求是从Kubelet发送的，而Kubelet不会向活动性HTTP服务发送客户端证书。

假设Istio Mixer提供了三个Prometheusendpoint，您可以考虑使用Prometheus作为主要监控工具，以收集和分析网格指标。