Istio内部服务异常时故障转移至外部服务配置问题

问题诊断 #

当前配置未达预期的核心原因有三点：

1. VirtualService路由结构错误：将主服务与备用服务拆分为两个独立的HTTP路由规则，第一条权重100的规则会匹配所有流量，第二条权重0的规则永远不会触发。
2. 未配置明确的故障转移逻辑：仅依赖Outlier Detection驱逐异常实例，但当内部服务无可用Pod（缩容至0）时，Istio无实例可驱逐，直接返回5xx，未触发流量转向外部服务。
3. 协议适配缺失：内部服务用HTTP（80端口），外部服务用HTTPS（443端口），未在路由中配置TLS通信规则。

修正后配置 #

1. 外部服务ServiceEntry（补充跨命名空间访问） #

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: external-backend
spec:
  hosts:
  - abc.example.com
  location: MESH_EXTERNAL
  ports:
  - number: 443
    name: https
    protocol: TLS
  resolution: DNS
  exportTo: "*" # 确保所有命名空间可访问外部服务

2. 内部服务异常检测DestinationRule（优化驱逐参数） #

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: backend-destination-rule
spec:
  host: abc.svc.cluster.local
  trafficPolicy:
    outlierDetection:
      consecutive5xxErrors: 1 # 1次5xx即触发实例驱逐
      interval: 5s # 缩短检测间隔
      baseEjectionTime: 30s
      maxEjectionPercent: 100 # 允许驱逐所有异常实例

3. 故障转移VirtualService（核心修正） #

apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: my-service
spec:
  hosts:
  - abc.svc.cluster.local
  http:
  - route:
    - destination:
        host: abc.svc.cluster.local
        port:
          number: 80
      weight: 100
    # 配置故障转移：主服务返回5xx/连接失败时，自动转发至外部服务
    fallback:
      destination:
        host: abc.example.com
        port:
          number: 443
      onAbort:
        - 5xx
    # 优化重试策略，覆盖连接失败等场景
    retries:
      attempts: 3
      perTryTimeout: 2s
      retryOn: "5xx,connect-failure,refused-stream"
    timeout: 5s
    # 配置TLS与外部HTTPS服务通信
    tls:
      mode: SIMPLE

生效逻辑说明 #

• 路由结构修正：将主服务与备用服务整合到同一HTTP规则下，通过fallback字段指定故障转移目标，当主服务返回5xx或连接失败时，自动触发流量切换。
• 异常检测优化：调整Outlier Detection参数，更快识别并驱逐异常实例，确保故障转移及时触发。
• 协议适配：添加tls.mode: SIMPLE，让Istio代理以HTTPS方式与外部服务通信，解决端口协议不匹配问题。

验证步骤 #

1. 应用所有修正配置：

kubectl apply -f serviceentry.yaml destinationrule.yaml virtualservice.yaml

2. 缩容内部服务至0实例：

kubectl scale deployment <你的内部服务Deployment名称> --replicas=0

3. 向abc.svc.cluster.local发送请求，验证流量是否自动转发至abc.example.com。

内容的提问来源于stack exchange，提问作者Aaryan Mehta