Kubernetes中Istio启用后RestTemplate出站HTTPS流量异常求助

核心现象 #

启用Istio后，Spring Boot应用通过RestTemplate向test.demo.com发起HTTPS请求返回500并触发SocketException；禁用Istio时请求正常返回200。已配置hostAliases和ServiceEntry但问题未解决。

问题分析与修复步骤 #

1. 修正Namespace的Istio注入标签拼写错误 #

你的namespace.yaml中存在拼写错误：

# 错误写法
labels:
  istio-injection: enbaled

改为：

# 正确写法
labels:
  istio-injection: enabled

拼写错误可能导致Sidecar注入异常，先确保Sidecar能正确注入到应用Pod中。

2. 调整ServiceEntry配置匹配hostAliases规则 #

你通过hostAliases将test.demo.com硬指向了固定IP，但当前ServiceEntry使用resolution: DNS，Istio会优先走DNS解析，忽略hostAliases的配置，导致流量无法正确路由到指定IP。

修改ServiceEntry为静态解析并指定目标IP：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: entry-demo
spec:
  hosts:
  - "test.demo.com"
  ports:
  - number: 443
    name: https-443  # 符合Istio端口命名规范：协议-端口格式
    protocol: HTTPS
  resolution: STATIC  # 静态解析，匹配hostAliases指定的IP
  location: MESH_EXTERNAL
  endpoints:
  - address: "114.108.xxx.xx"  # 对应hostAliases中的目标IP

3. 查看Sidecar日志定位精准错误 #

通过Sidecar日志可以获取更具体的故障原因：

kubectl logs <你的应用Pod名称> -c istio-proxy

重点关注TLS握手、连接超时或路由规则相关的日志，比如是否出现证书验证失败、SNI不匹配等问题。

4. 验证RestTemplate配置 #

如果RestTemplate使用了自定义ClientHttpRequestFactory（如SimpleClientHttpRequestFactory），确保它没有禁用系统代理或修改默认连接行为——Istio Sidecar是透明代理，应用无需手动配置代理，但自定义工厂可能干扰流量拦截逻辑。

额外检查项 #

• 确认没有其他Istio规则（如DestinationRule、VirtualService）拦截或修改了test.demo.com的出站流量
• 在Sidecar容器内执行curl https://test.demo.com，验证目标IP的443端口是否可正常访问

内容的提问来源于stack exchange，提问作者raboy