启用STRICT PeerAuthentication与MUTUAL_TLS时istio-proxy与应用通信异常

核心原因 #

• 当PeerAuthentication设为STRICT模式时，Istio强制所有访问default命名空间Pod的流量必须使用ISTIO_MUTUAL双向TLS认证。宿主机VM未部署Istio Sidecar，无法生成Istio CA签发的客户端证书，无法完成mTLS握手，因此被Pod侧的Envoy代理直接重置连接，触发Recv failure: Connection reset by peer错误。
• PERMISSIVE模式下，Istio同时允许明文和mTLS流量，所以VM的curl能建立TCP连接，但zookeeper基于自定义TCP协议工作，curl用HTTP协议请求自然会得到空回复，这是协议不匹配的正常现象，并非通信故障。

可行解决方案 #

方案1：为宿主机VM接入Istio网格（推荐） #

给VM部署Istio Sidecar，让其加入服务网格，自动获取mTLS证书，即可与网格内Pod正常通信：

1. 完成VM的网格接入配置，包括Sidecar安装、环境变量注入、证书挂载等步骤。
2. 接入后，VM流量会被Sidecar接管，自动完成mTLS握手，无论PeerAuthentication是哪种模式，都能正常访问zookeeper。

方案2：配置PeerAuthentication放行VM的明文流量 #

如果无法为VM部署Sidecar，可通过PeerAuthentication的excludeIPRanges字段，放行来自宿主机VM IP的明文流量：

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: default
spec:
  mtls:
    mode: STRICT
  excludeIPRanges:
  - "192.168.x.x/32"  # 替换为你的宿主机VM实际IP

注意：此方案会降低指定IP范围的安全性，仅适合临时测试或无法接入网格的场景。

方案3：通过Istio Gateway转发VM流量 #

部署Istio Gateway，配置TCP监听规则，让VM通过Gateway间接访问zookeeper：

1. 创建Gateway配置，监听zookeeper端口：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: zookeeper-gateway
  namespace: default
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 2181
      name: tcp-zookeeper
      protocol: TCP
    hosts:
    - "*"

2. 创建VirtualService转发流量到zookeeper服务：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: zookeeper-vs
  namespace: default
spec:
  hosts:
  - "*"
  gateways:
  - zookeeper-gateway
  tcp:
  - match:
    - port: 2181
    route:
    - destination:
        host: zookeeper.default.svc.cluster.local
        port:
          number: 2181

3. VM通过Istio Ingress Gateway的IP和2181端口访问zookeeper，Gateway会自动处理mTLS握手，无需VM配置证书。

补充提示 #

zookeeper是自定义TCP协议，用curl访问本身不符合协议要求，即使PERMISSIVE模式下能建立连接，也会返回空回复。测试zookeeper连通性建议使用专门工具（如zkCli.sh）。

内容的提问来源于stack exchange，提问作者Madhusoodan