Istio配置咨询：如何从VirtualService中排除返回5xx的不健康外部服务目标

我明白你的问题了——你想让Istio自动跳过那个一直返回5xx的外部服务（501.returnco.de），只把流量发往健康的201.returnco.de，同时还要给每个目标设置专属的请求头。之前的配置没生效，核心原因是你把两个外部服务当成了独立的服务实例，异常检测驱逐不健康实例后，VirtualService还是会按权重硬发流量过去，导致503错误。

核心思路 #

把两个外部服务合并到同一个ServiceEntry中，用subset区分不同的目标，这样Istio就能在某个subset的所有实例不健康时，自动把流量切换到健康的subset；同时在VirtualService中为每个subset配置专属的请求头。

具体配置步骤 #

1. 更新ServiceEntry，把两个外部服务作为同一服务的不同端点

给每个端点加上标签，方便后续用subset区分：

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: test-external
spec:
  hosts:
  - test-external.com
  location: MESH_EXTERNAL
  ports:
  - name: http
    number: 80
    protocol: HTTP
  resolution: DNS
  endpoints:
  - address: 201.returnco.de
    labels:
      service-version: v201
  - address: 501.returnco.de
    labels:
      service-version: v501

2. 配置DestinationRule，为每个subset单独设置异常检测

这样Istio能精准识别并驱逐不健康的subset实例：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: test-external
spec:
  host: test-external.com
  subsets:
  - name: v201
    labels:
      service-version: v201
    trafficPolicy:
      outlierDetection:
        consecutive5xxErrors: 1  # 只要出现1次5xx就标记为不健康
        baseEjectionTime: 1m     # 驱逐1分钟
        interval: 15s            # 每15秒检查一次健康状态
        maxEjectionPercent: 100  # 驱逐该subset的所有不健康实例
  - name: v501
    labels:
      service-version: v501
    trafficPolicy:
      outlierDetection:
        consecutive5xxErrors: 1
        baseEjectionTime: 1m
        interval: 15s
        maxEjectionPercent: 100

3. 修改VirtualService，为每个subset配置专属请求头和路由权重

这样既保留了自定义头的需求，又能让Istio自动切换到健康subset：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: test-external
spec:
  hosts:
  - test-external.com
  http:
  - route:
    - destination:
        host: test-external.com
        subset: v201
      weight: 50
      headers:
        request:
          set:
            test: "true"
            Host: "201.returnco.de"
            api-key: "xxxxxxxxxx"
    - destination:
        host: test-external.com
        subset: v501
      weight: 50
      headers:
        request:
          set:
            test: "true"
            Host: "501.returnco.de"
            api-key: "yyyyyyyyyy"

为什么这样能解决问题？ #

• 现在两个外部服务属于同一ServiceEntry的不同subset，Istio的负载均衡器会统一管理它们的健康状态
• 当v501的所有实例被异常检测驱逐后，Istio会自动跳过这个subset，把100%的流量都发往健康的v201
• 每个subset的请求头是独立配置的，完全满足你“不同目标需要不同头”的需求

额外提示 #

如果后续501.returnco.de恢复正常，Istio会在baseEjectionTime到期后自动检查健康状态，一旦恢复就会按配置的权重重新分配流量，不需要手动调整。

备注：内容来源于stack exchange，提问作者hylowaker