如何在K8s中路由UDP网关入站请求？Istio配置问题

我处理TCP流量时，会创建监听TCP网关的VirtualService来将流量路由至正确主机，配置示例如下：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  creationTimestamp: "2024-03-19T17:17:44Z"
  generation: 2
  name: tcp-test-virtual-service
  namespace: default
  resourceVersion: "1076485"
  uid: 9cc94534-2dec-4165-8dec-4a8fb66087ea
spec:
  gateways:
  - tcp-test
  hosts:
  - '*'
  tcp:
  - match:
    - port: 2057
    route:
    - destination:
        host: tcp-test
        port:
          number: 2057

但尝试在VirtualService中配置spec.udp字段时，会返回错误：

denied the request: configuration is invalid: http, tcp or tls must be provided in virtual service

解决方案 #

Istio中转发UDP流量无需单独配置spec.udp字段，直接复用tcp字段即可——Istio的VirtualService tcp配置同时支持TCP和UDP协议的路由，核心是确保Gateway已正确配置UDP端口监听。

1. 配置支持UDP的Gateway
   首先需要在Gateway中定义UDP类型的端口监听，示例如下：

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: udp-test-gateway
  namespace: default
spec:
  selector:
    istio: ingressgateway # 选择你的Ingress Gateway Pod标签
  servers:
  - port:
      number: 53 # 示例UDP端口（如DNS服务）
      name: udp-dns
      protocol: UDP # 明确指定协议为UDP
    hosts:
    - "*"

2. 配置VirtualService路由UDP流量
   直接使用tcp字段匹配UDP端口并路由到目标服务，示例：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: udp-test-virtual-service
  namespace: default
spec:
  gateways:
  - udp-test-gateway # 关联上述UDP Gateway
  hosts:
  - '*'
  tcp:
  - match:
    - port: 53 # 匹配Gateway中定义的UDP端口
    route:
    - destination:
        host: udp-test-service # 你的UDP服务名称（K8s Service）
        port:
          number: 53 # 服务暴露的UDP端口

原理说明 #

Istio会根据Gateway中配置的端口协议（UDP/TCP）自动适配VirtualService的tcp路由规则，无需额外声明UDP专属字段。只要Gateway的端口协议为UDP，对应的tcp匹配规则就会处理该端口的UDP流量。

内容的提问来源于stack exchange，提问作者Om Shreenidhi