使用Istio代理外部HTTPS Rest API及路径重写的配置求助

要实现将https://api.xyz.com/review转发到外部APIhttps://execute.abc.com/v1/review，你需要完成三个关键配置：注册外部服务、配置TLS访问规则、更新VirtualService添加路由和URL重写。

1. 注册外部服务（ServiceEntry） #

首先让Istio识别集群外的execute.abc.com服务，创建如下资源：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: external-review-api
spec:
  hosts:
  - execute.abc.com  # 外部API的准确域名
  ports:
  - number: 443
    name: https
    protocol: HTTPS
  resolution: DNS  # 通过DNS解析外部服务地址
  location: MESH_EXTERNAL  # 标记为集群外服务

2. 配置外部服务的TLS访问规则（DestinationRule） #

由于外部API使用HTTPS，需要告诉Istio Sidecar发起HTTPS请求时的证书处理逻辑：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: external-review-api-dr
spec:
  host: execute.abc.com
  trafficPolicy:
    tls:
      mode: SIMPLE  # 发起标准HTTPS请求，默认验证服务证书
      # 若外部服务使用自签名证书，需提前创建包含根证书的Secret，并添加以下配置（生产环境谨慎使用）
      # credentialName: external-api-root-cert

3. 更新现有VirtualService添加路由规则 #

在你已有的处理api.xyz.com/v2/review的VirtualService中，新增路由规则匹配无v2前缀的/review路径，并完成URL重写：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: api-gateway-vs
spec:
  hosts:
  - api.xyz.com  # 统一入口域名
  gateways:
  - your-existing-gateway  # 替换为你已配置的Gateway名称
  http:
  # 保留你已有的集群内服务路由规则
  - match:
    - uri:
        prefix: /v2/review
    route:
    - destination:
        host: your-internal-review-service  # 集群内服务名称
        port:
          number: 8080  # 集群内服务端口
  # 新增外部API路由规则
  - match:
    - uri:
        exact: /review  # 精确匹配无v2前缀的/review路径
    rewrite:
      uri: /v1/review  # 重写URL为外部API要求的格式
    route:
    - destination:
        host: execute.abc.com  # 对应ServiceEntry定义的外部服务域名
        port:
          number: 443

常见失败原因排查 #

• ServiceEntry主机名不匹配：hosts字段必须严格等于外部API的域名execute.abc.com，Istio会按主机名精确匹配转发。
• URL匹配规则错误：若误用prefix而非exact，可能会误匹配/review/123这类路径，根据你的需求用exact更准确。
• TLS配置缺失：没有DestinationRule时，Istio默认可能发起HTTP请求，导致外部HTTPS服务拒绝连接。
• 路由规则顺序问题：Istio按规则顺序匹配，确保精确匹配的外部API规则放在前缀匹配的v2规则之前，避免被提前匹配拦截。

内容的提问来源于stack exchange，提问作者Shashank Sachan