使用Istio TCP路由时无法通过IP访问服务的问题咨询

问题描述 #

使用Istio VirtualService的HTTP路由配置时，可通过1.2.3.4正常访问HTTP服务；但将配置中的http字段改为tcp字段后，无法再通过1.2.3.4访问服务。相关配置如下：

HTTP路由配置（正常工作） #

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: httpbin-vir
spec:
  hosts:
    - httpbin.default.svc.cluster.local
    - 1.2.3.4
  http:
    - match:
        - port: 8000
          sourceLabels:
            version: base
      route:
        - destination:
            host: httpbin.default.svc.cluster.local
            subset: base
    - match:
        - port: 8000
          sourceLabels:
            version: feature
      route:
        - destination:
            host: httpbin.default.svc.cluster.local
            subset: feature

TCP路由配置（无法访问） #

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: httpbin-vir
spec:
  hosts:
    - httpbin.default.svc.cluster.local
    - 1.2.3.4
  tcp:
    - match:
        - port: 8000
          sourceLabels:
            version: base
      route:
        - destination:
            host: httpbin.default.svc.cluster.local
            subset: base
    - match:
        - port: 8000
          sourceLabels:
            version: feature
      route:
        - destination:
            host: httpbin.default.svc.cluster.local
            subset: feature

原因分析 #

Istio中TCP路由和HTTP路由的hosts字段逻辑完全不同：

• HTTP路由属于七层路由，会解析请求的Host头部（或HTTPS的SNI），所以直接配置IP1.2.3.4能被请求的Host头匹配，触发路由规则。
• TCP路由是四层路由，不解析应用层的Host信息，它的hosts字段只能匹配网格内部的服务域名（如httpbin.default.svc.cluster.local），无法识别外部IP地址。另外，配置里的sourceLabels仅对网格内部Pod的请求生效，外部直接访问1.2.3.4的请求没有对应标签，也会导致匹配失败。

TCP路由下通过1.2.3.4访问服务的配置方法 #

要实现TCP路由下的外部IP访问，必须结合Istio Gateway和VirtualService配合配置：

1. 创建TCP Gateway监听端口 #

先配置一个Gateway，指定监听外部可访问的TCP端口，并绑定到你的Ingress网关：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: tcp-gateway
spec:
  selector:
    istio: ingressgateway # 替换成你的Ingress网关Pod标签
  servers:
    - port:
        number: 8000
        name: tcp-8000
        protocol: TCP
      hosts:
        - "*" # 允许所有外部IP访问该端口

2. 调整VirtualService的TCP路由配置 #

修改VirtualService，将TCP路由绑定到上述Gateway，同时去掉hosts中的IP地址，调整匹配规则（外部请求无法使用sourceLabels）：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: httpbin-vir
spec:
  hosts:
    - httpbin.default.svc.cluster.local
  gateways:
    - tcp-gateway # 绑定到创建的TCP Gateway
  tcp:
    # 外部请求走默认路由到base子集
    - match:
        - port: 8000
      route:
        - destination:
            host: httpbin.default.svc.cluster.local
            subset: base
            port:
              number: 8000 # 指定服务后端端口
    # 网格内部带version=feature标签的请求走feature子集
    - match:
        - port: 8000
          sourceLabels:
            version: feature
      route:
        - destination:
            host: httpbin.default.svc.cluster.local
            subset: feature
            port:
              number: 8000

补充注意事项 #

• 确保Ingress网关的Service已经暴露了8000端口（通过NodePort、LoadBalancer或ExternalIP方式），这样外部才能通过1.2.3.4:8000访问到服务。
• 如果需要更复杂的TCP路由规则，可以结合sourceSubnet等字段区分外部请求来源。

内容的提问来源于stack exchange，提问作者LB zhang