Istio集群内自定义虚拟域名无法解析及路由配置求助

我需要在Istio集群内配置虚拟服务，让集群内Pod能通过http://internal.service.com/path访问指定目标服务。一开始想把所有对internal.service.com的请求导到istio-ingressgateway.istio-system，但这不符合服务网格设计初衷，于是创建了以下VirtualService配置，将host设为internal.service.com，gateway设为mesh，期望路由规则注入到所有Pod的Sidecar中，实现Pod内访问该域名路径：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: internal-service-vs
spec:
  hosts:
    - "internal.service.com"
  gateways:
    - mesh
  http:
    - match:
        - uri:
            prefix: /path
      route:
        - destination:
            host: a-service.namespace.svc.cluster.local
            port:
              number: 5000

但在Pod内请求internal.service.com时，出现DNS无法解析的错误。发现该VirtualService似乎只生成了inbound路由规则，而非预期的outbound规则。现在需要通过携带Host: internal.service.com头的请求来触发这条路由规则，但不知道如何请求当前Pod的Sidecar，同时不想让请求流出当前Pod，避免单一节点承载所有负载。

可接受的请求目标包括：any-service.ns、any-service.ns.svc.cluster.local、service cluster ip
不可接受的请求目标：pod ip（原因是什么？）、127.0.0.1:15001（ChatGPT称这是Sidecar的HTTP inbound端口）

问题原因及解决办法 #

1. DNS解析失败的核心原因
   Istio VirtualService仅负责定义流量路由规则，不提供DNS解析能力。internal.service.com不属于Kubernetes集群内置的服务域名，集群DNS服务无法解析该域名，因此Pod内直接请求会报错。

2. 触发outbound路由规则的正确方式
   无需直接请求Sidecar，只要让业务请求经过Sidecar的outbound代理即可触发规则。具体操作：

   • 在Pod内发送请求时，指定集群内可正常解析的服务地址（如你列出的any-service.ns、any-service.ns.svc.cluster.local或服务Cluster IP），同时携带Host: internal.service.com请求头和/path路径。
   • 示例curl命令：

     curl -H "Host: internal.service.com" http://a-service.namespace.svc.cluster.local/path
     

     Sidecar会识别请求头中的Host值和路径，匹配VirtualService的规则，将请求转发到目标服务a-service.namespace.svc.cluster.local:5000。

3. 为什么不能使用Pod IP

   • Pod IP是集群内的临时地址，Pod重启、调度后IP会变更，不具备稳定性；
   • 直接请求Pod IP会绕过Sidecar的outbound代理，无法触发Istio的路由策略，完全失去服务网格的流量管控能力。

4. 关于127.0.0.1:15001的误区
   该端口是Sidecar的inbound管理端口，用于接收控制平面的配置推送、监控数据上报等管理类请求，不处理业务流量，因此不能用来发送业务请求。

内容的提问来源于stack exchange，提问作者N.Xu