Azure Kubernetes集群Istio网关配置502错误排查求助

核心问题分析 #

1. 双重Ingress控制器冲突：同时部署Nginx Ingress和Istio Gateway属于冗余配置，Istio Gateway本身就是集群入口流量控制器，额外通过Nginx转发会导致流量路径混乱，是502错误的主要诱因。
2. Istio Gateway mTLS模式配置不当：Gateway设置了mode: MUTUAL，要求客户端必须提供可信证书才能建立连接，但当前访问方式未传递客户端证书，Istio网关直接拒绝请求。
3. 资源版本与配置不匹配：
   • VirtualService使用已废弃的v1alpha3版本，兼容性存在隐患；
   • PeerAuthentication开启STRICT强制mTLS，但DestinationRule未配置对应策略，导致网关到后端服务的mTLS握手失败。
4. 端口与流量路径不匹配：Nginx Ingress转发到Istio网关的80端口，但Istio Gateway仅配置了443端口的HTTPS监听，80端口无对应服务规则，请求无法被处理。

修正步骤 #

1. 删除冗余Nginx Ingress资源 #

直接移除冲突的Ingress资源：

kubectl delete ingress istio-gateway-ingress-service -n default

2. 调整Istio Gateway配置 #

根据访问需求选择合适的TLS模式：

• 如果只需服务端mTLS（客户端验证服务端证书，无需提供客户端证书），使用以下配置：

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: api-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    hosts:
      - "my-hostname"
    tls:
      mode: SIMPLE
      credentialName: my-hostname-secret # cert-manager生成的TLS secret直接可用

• 如果确实需要双向mTLS，确保my-hostname-secret同时包含服务端证书和用于验证客户端的CA证书。

3. 更新VirtualService到稳定版本 #

将API版本改为v1beta1，保证配置兼容性：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: api-management
spec:
  hosts:
  - 'my-hostname'
  gateways:
  - api-gateway
  http:
    - match:
      - uri:
          prefix: '/'
      route:
        - destination:
            host: internal-container-loadbalancer
            port:
              number: 8080

4. 配置DestinationRule启用mTLS #

匹配PeerAuthentication的STRICT模式，确保网关到后端的流量加密：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: internal-container
spec:
  host: internal-container-loadbalancer
  subsets:
    - name: internal-container
      labels:
        app: internal-container
  trafficPolicy:
    tls:
      mode: ISTIO_MUTUAL # 启用Istio自动管理的mTLS

5. 验证外部访问 #

确认Istio ingressgateway服务类型为LoadBalancer（Azure K8s默认分配公共IP）：

kubectl get service istio-ingressgateway -n istio-system

将域名my-hostname解析到该服务的公共IP，直接通过https://my-hostname访问后端服务。

多服务扩展建议 #

后续需要按路径路由到多个后端时，只需在VirtualService中添加多个匹配规则即可，示例：

http:
  - match:
    - uri:
        prefix: '/service1'
    route:
      - destination:
          host: service1-loadbalancer
          port:
            number: 8080
  - match:
    - uri:
        prefix: '/service2'
    route:
      - destination:
          host: service2-loadbalancer
          port:
            number: 8080

内容的提问来源于stack exchange，提问作者Nayden Van