Istio网关到上游工作负载的mTLS通信异常排查求助

1. 为网关出站流量配置mTLS规则 #

Istio网关的Sidecar默认不会自动对跨命名空间流量启用mTLS，需显式配置DestinationRule指定到default命名空间服务的流量使用加密通信：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: default-ns-mtls
  namespace: istio-system
spec:
  host: "*.default.svc.cluster.local"
  trafficPolicy:
    tls:
      mode: ISTIO_MUTUAL

如果需要对所有网格内服务启用全局mTLS，可创建全局规则：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: global-mtls
  namespace: istio-system
spec:
  host: "*"
  trafficPolicy:
    tls:
      mode: ISTIO_MUTUAL

2. 确认网关Sidecar注入状态 #

执行命令验证网关Pod是否正确注入Istio Sidecar：

kubectl get pods -n istio-system -l app=istio-ingressgateway -o jsonpath='{.items[*].spec.containers[*].name}'

输出需包含istio-proxy容器，说明Sidecar注入正常。

3. 验证网关出站流量的mTLS配置 #

用istioctl检查网关Pod的出站流量规则，确认目标服务的TLS模式为ISTIO_MUTUAL：

istioctl pc outbound $(kubectl get pod -n istio-system -l app=istio-ingressgateway -o jsonpath='{.items[0].metadata.name}') -n istio-system | grep target-service.default

4. 排查PeerAuthentication规则冲突 #

确认default命名空间的PeerAuthentication没有针对目标服务设置例外规则，确保所有入站流量强制使用mTLS：

kubectl get peerauthentication default -n default -o yaml

关键说明 #

其他istio-system命名空间的Pod能正常访问，是因为它们的Sidecar可能继承了全局mTLS配置，而网关的Sidecar需要显式的DestinationRule来指定跨命名空间的加密策略。配置完成后，重新测试网关到目标服务的访问即可。

内容的提问来源于stack exchange，提问作者Ryan Pagel