K3s集群内Pod无法访问RabbitMQ Service问题求助

核心原因 #

Istio Sidecar对RabbitMQ 5671端口的协议识别错误，导致流量转发失败。

详细解释 #

• Istio依赖Service的端口名称自动推断协议类型，默认仅识别命名为amqp（对应5672端口）或amqp-tls（对应5671端口）的端口为AMQP协议，会按对应协议规则转发流量。
• 你的RabbitMQ Service中5671端口的名称为rabbitmq，Istio无法识别该名称对应的协议，会默认将其当作HTTP协议处理。当Pod内流量经过Sidecar时，Sidecar尝试用HTTP协议与RabbitMQ的5671端口通信，但RabbitMQ在该端口运行的是AMQP/TLS协议，因此直接拒绝连接，出现Connection refused错误。
• 443端口名称为https，Istio能正确识别为HTTPS协议，因此流量转发正常；宿主机直接访问ClusterIP时不经过Istio Sidecar，绕开了协议识别逻辑，所以可以正常连接。

解决方法 #

方法1：修改Service端口名称（推荐） #

将RabbitMQ Service中5671端口的名称改为Istio识别的amqp-tls：

apiVersion: v1
kind: Service
metadata:
  name: rabbit-svc
  namespace: rabbit
spec:
  ports:
  - name: https
    port: 443
    targetPort: 443
  - name: amqp-tls  # 修改为Istio识别的协议端口名
    port: 5671
    targetPort: 5671
  selector:
    app: rabbitmq  # 替换为你的RabbitMQ Pod标签

执行更新：

kubectl apply -f updated-rabbit-svc.yaml

方法2：通过DestinationRule显式指定协议 #

如果无法修改Service配置，可创建Istio DestinationRule，强制指定5671端口的协议：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: rabbit-dr
  namespace: rabbit
spec:
  host: rabbit-svc.rabbit.svc.cluster.local
  subsets:
  - name: default
    trafficPolicy:
      portLevelSettings:
      - port:
          number: 5671
        tls:
          mode: SIMPLE  # 若RabbitMQ未启用TLS，改为DISABLE

执行应用：

kubectl apply -f rabbit-destinationrule.yaml

验证 #

在目标Pod内重新执行连接命令，确认是否能正常连接：

openssl s_client -connect rabbit-svc.rabbit.svc.cluster.local:5671

内容的提问来源于stack exchange，提问作者AhMaD AbUIeSa