单集群多Istio控制平面版本兼容：如何隔离新旧控制平面？

一、核心问题分析 #

旧版本Istio控制平面（istiod）无法解析新版本引入的LEAST_REQUEST负载均衡枚举值，导致监听DestinationRule资源时出现解码错误并终止运行。本质是跨版本CRD字段不兼容，且默认所有istiod实例会监听集群内所有同类型CR资源。

二、控制平面隔离方案 #

1. 基于Revision的实例隔离 #

Istio 1.7+内置的revision机制是官方推荐的多版本共存方案：

• 部署不同版本istiod时，通过revision参数指定唯一标识（如v1、v2）：

  # 部署旧版本v1.15
  istioctl install --set profile=default --set revision=v1 --version=1.15.x
  # 部署新版本v1.20
  istioctl install --set profile=default --set revision=v2 --version=1.20.x
  

• 每个revision的istiod仅监听带有istio.io/rev=<revision>标签的CR资源（如DestinationRule、VirtualService），以及对应revision命名空间内的资源。

2. 命名空间级隔离 #

将使用新版本特性的应用和CR资源部署在独立命名空间（如app-v2），并配置旧版本istiod忽略该命名空间：

• 修改旧版本istiod的MeshConfig，添加资源选择器过滤命名空间：

  meshConfig:
    resourceSelectors:
    - apiGroups: ["networking.istio.io"]
      kinds: ["DestinationRule", "VirtualService"]
      namespaceSelector:
        matchExpressions:
        - key: kubernetes.io/metadata.name
          operator: NotIn
          values: ["app-v2"]
  

• 新版本istiod可通过相同方式配置为仅监听app-v2命名空间。

三、版本兼容处理策略 #

1. 资源标签隔离 #

为使用LEAST_REQUEST的DestinationRule添加新版本revision标签，确保旧版本istiod不会处理该资源：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: my-dr
  labels:
    istio.io/rev: v2 # 仅让v2版本istiod处理
spec:
  host: my-service
  trafficPolicy:
    loadBalancer:
      simple: LEAST_REQUEST

2. 避免跨版本使用未兼容字段 #

若需旧版本istiod正常运行，必须确保其监听的所有CR资源不包含旧版本不支持的字段（如LEAST_REQUEST）。仅在新版本控制平面覆盖的应用中使用新特性。

四、控制平面可见性拆分实现 #

1. 工作负载与控制平面绑定 #

通过标签将工作负载与对应版本的istiod绑定，确保sidecar仅连接指定版本的控制平面：

• 给工作负载打标签：

  kubectl label pod <pod-name> istio.io/rev=v2
  

• 或在Deployment模板中添加标签：

  template:
    metadata:
      labels:
        istio.io/rev: v2
  

  配置后sidecar注入时会自动连接istiod-v2实例，而非默认的旧版本控制平面。

2. 自定义资源选择器 #

通过Istio的PILOT_RESOURCE_SELECTORS环境变量或MeshConfig中的resourceSelectors，精确控制每个istiod实例监听的资源范围：

• 在旧版本istiod的Deployment中添加环境变量：

  env:
  - name: PILOT_RESOURCE_SELECTORS
    value: |
      [{"apiGroups":["networking.istio.io"],"kinds":["DestinationRule"],"labels":{"istio.io/rev":"v1"}}]
  

  此配置让旧版本istiod仅处理带有istio.io/rev=v1标签的DestinationRule。

五、临时应急修复 #

若不需要旧版本控制平面处理任何新版本资源，可临时修改旧版本istiod的配置，禁止监听DestinationRule：

meshConfig:
  disabledResources:
  - DestinationRule

内容的提问来源于stack exchange，提问作者letterk