Istio无法识别PostgreSQL TCP流量，外部访问数据库连接被拒

我使用Bitnami Helm Chart在Istio服务网格中部署了PostgreSQL，尝试从集群外部通过配置好的Istio Gateway（允许PostgreSQL TCP流量）访问数据库，但连接被拒绝。PostgreSQL连接请求未出现在Istio Gateway代理日志中，说明Istio未识别该TCP流量，未进行转发。

已知情况：

• Istio能正常路由其他服务的HTTP流量
• PostgreSQL可通过NodePort或port forward正常访问，数据库运行正常
• PostgreSQL及其服务已注入Istio代理侧车

我的Istio网关配置（原配置存在语法错误）：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: my-app-gateway
spec:
  selector:
    istio: ingressgateway
  # 原配置缺失servers字段，导致端口配置无效
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"
  - port:
      number: 5432
      name: tcp-postgresql
      protocol: TCP
    hosts:
    - "*"
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      credentialName: my-tls
    hosts:      
    - "*"

PostgreSQL虚拟服务配置：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: postgres-vs
spec:
  hosts:
  - "*"
  gateways:
  - my-app-gateway
  tcp:
  - match:
    - port: 5432
    route:
    - destination:
        port:
          number: 5432
        host: my-postgresql

另外我想确认：Istio无法为PostgreSQL提供TLS发起功能，是否意味着Istio完全无法通过TCP为PostgreSQL提供连接？

问题排查与解决方案 #

1. 修复Gateway配置的语法错误 #

你的Gateway配置中缺失了servers顶层字段，所有端口定义必须嵌套在servers数组下，这是Istio Gateway的必填结构。缺失该字段会导致Istio无法正确加载TCP端口配置，流量根本不会被Gateway识别。修正后的配置已补充servers:字段。

2. 验证Istio IngressGateway的端口暴露 #

确保Istio IngressGateway的Service已经暴露5432端口，执行以下命令检查：

kubectl get svc istio-ingressgateway -n istio-system

如果5432端口未出现在输出的ports列表中，需要修改IngressGateway的Service配置，添加TCP端口映射：

apiVersion: v1
kind: Service
metadata:
  name: istio-ingressgateway
  namespace: istio-system
spec:
  ports:
  # 保留现有其他端口配置
  - name: tcp-postgresql
    port: 5432
    targetPort: 5432
    protocol: TCP

3. 确认PostgreSQL服务端口与虚拟服务匹配 #

检查my-postgresql服务的端口是否为5432：

kubectl get svc my-postgresql

如果服务使用了不同的端口编号或名称，需同步修改VirtualService中destination.port.number的值。

4. 关于Istio对PostgreSQL的TCP支持 #

Istio完全支持TCP流量转发，包括PostgreSQL。所谓“无法提供TLS发起功能”，仅指Istio默认不会自动为网格内服务到PostgreSQL的出站流量发起TLS加密连接，但这不影响通过Gateway进行TCP流量转发。只要配置正确，外部流量可以正常通过Gateway路由到PostgreSQL。

5. 验证配置生效 #

应用修正后的Gateway配置后，等待Istio配置同步（或重启IngressGateway Pod），然后查看Gateway代理日志确认流量被识别：

kubectl logs -n istio-system -l istio=ingressgateway -c istio-proxy

此时应该能看到PostgreSQL的TCP连接日志，再尝试外部连接即可正常访问。

内容的提问来源于stack exchange，提问作者Paul Hansen