已配置ReferenceGrant仍无法跨命名空间引用Kubernetes Service

首先，你的HTTPRoute配置中存在明显错误：backendRefs里指定的namespace是cross-ns-2，但你要引用的Service实际在cross-ns-1命名空间，这是导致跨命名空间引用失败的直接原因。

1. 修正HTTPRoute配置 #

将HTTPRoute的backendRefs.namespace改为cross-ns-1，修正后的完整HTTPRoute配置如下：

apiVersion: gateway.networking.k8s.io/v1beta1
kind: HTTPRoute
metadata:
    name: cross-ns-http-route
    namespace: cross-ns-2
spec:
    hostnames:
        - cross-ns-test.com
    parentRefs:
        - group: gateway.networking.k8s.io
          kind: Gateway
          name: cross-ns-gateway
          namespace: gateway-infra
    rules:
        - backendRefs:
              - group: ''
                kind: Service
                port: 8080
                name: httpbin
                namespace: cross-ns-1  # 修正为目标Service所在的命名空间
          matches:
              - path:
                    type: PathPrefix
                    value: /

2. 重新应用配置 #

执行命令更新HTTPRoute：

kubectl apply -f <你的HTTPRoute配置文件路径> -n cross-ns-2

3. 验证配置有效性 #

检查ReferenceGrant状态 #

确认ReferenceGrant已正确配置并被控制器识别：

kubectl describe referencegrant cross-ns-reference-grant -n cross-ns-1

输出中应显示from字段包含cross-ns-2的HTTPRoute，to字段指向httpbin Service。

检查HTTPRoute状态 #

查看HTTPRoute是否成功关联后端：

kubectl describe httproute cross-ns-http-route -n cross-ns-2

如果配置正确，Status部分应显示Accepted状态，且无错误信息。

额外排查点 #

如果修正后仍有问题，可检查以下内容：

• GKE网关版本：确保使用的gke-l7-global-external-managed GatewayClass对应的控制器版本支持Gateway API v1beta1，建议升级到最新稳定版本。
• Service可用性：确认cross-ns-1中的httpbin Service和对应的Pod正常运行：

  kubectl get svc,pods -n cross-ns-1
  

• Gateway配置：确认Gateway的listeners.allowedRoutes.namespaces.from设置为All，允许接收来自所有命名空间的路由（你的当前配置已满足此要求）。

内容的提问来源于stack exchange，提问作者Donovan Shook