Istio入口网关主机重叠导致路由不符合预期问题咨询

问题原因 #

这个现象的核心是Istio的两级流量匹配逻辑顺序导致的：

1. Gateway Server主机匹配顺序优先于精度
   Istio处理入站流量时，第一步会匹配Gateway中定义的Server主机列表，匹配规则是严格按照配置的顺序匹配，而非按域名精度（精确匹配>通配符）。如果你的Gateway Server中先配置了*.contoso.com，后配置foo.contoso.com，那么foo.contoso.com的请求会先命中通配符主机条目，不会再向后匹配精确域名的条目。

2. VirtualService匹配范围受Gateway匹配结果限制
   当流量匹配到Gateway的某个主机条目（如*.contoso.com）后，Istio只会在关联该Gateway且Host列表包含当前匹配的Gateway主机的VirtualService中进行路由筛选。此时：

   • contoso-external的Host是*.contoso.com，完全匹配Gateway的通配符主机，因此流量被路由到wildcard.contoso.xyz；
   • foo-external的Host是foo.contoso.com，虽然是精确匹配，但它的Host并不包含*.contoso.com（Istio在此阶段是用Gateway匹配到的主机过滤VirtualService，而非直接用请求Host匹配所有VirtualService），因此不会被选中。

而bar.contoso.com的流量正常，是因为它只能匹配Gateway的*.contoso.com主机条目，此时关联的VirtualService中，bar-external的精确Host匹配优先级高于contoso-external的通配符，因此会被正确路由。

解决方案 #

• 调整Gateway主机顺序：将精确域名foo.contoso.com放在*.contoso.com之前，让foo.contoso.com的请求先命中精确主机条目，进而匹配对应的foo-external VirtualService。
• 简化Gateway配置：移除Gateway Server中的精确域名条目，仅保留*.contoso.com。此时所有*.contoso.com范围内的请求都会进入该Gateway条目，Istio会在关联的VirtualService中按精确匹配优先于通配符的规则路由，foo.contoso.com会自动匹配foo-external，无需依赖Gateway的顺序。

内容的提问来源于stack exchange，提问作者Tomking Chen