GCP托管Istio（ASM）可观测性异常问题排查

1. TCP流量走透传模式 #

PostgreSQL基于TCP协议，Istio默认对未明确配置协议的TCP服务会采用**透传模式（Passthrough）**处理。这种模式下，Istio Sidecar仅做流量转发，不会解析源服务元数据，导致监控视图和Prometheus指标中source标签为unknown，destination_service_name显示为InboundPassthroughClusterIpv4。

2. 服务配置缺少协议标识 #

如果pgbouncer的Kubernetes Service未显式指定协议类型（如appProtocol: postgresql或protocol: TCP），Istio无法识别该服务的流量特征，会默认将其归类为透传流量，无法关联源服务信息。

3. Sidecar注入不完整 #

• 若调用pgbouncer的客户端应用Pod未注入Istio Sidecar，流量直接绕过服务网格发送，Istio无法捕获源服务标识；
• 若pgbouncer自身Pod的Sidecar注入异常，入站流量未经过Sidecar处理，同样会导致元数据丢失。

4. 托管ASM默认规则限制 #

托管Anthos Service Mesh（ASM）可能存在默认的端口/服务处理规则，对未显式配置的TCP服务自动启用透传，导致流量无法被网格正确追踪。

1. 显式配置服务协议 #

更新pgbouncer的Service定义，明确指定协议类型，让Istio识别流量特征：

apiVersion: v1
kind: Service
metadata:
  name: pgbouncer
  namespace: pgbouncer
spec:
  ports:
  - name: postgresql
    port: 5432
    targetPort: 5432
    protocol: TCP
    appProtocol: postgresql # 关键：告知Istio这是PostgreSQL协议的TCP流量
  selector:
    app: pgbouncer

2. 验证Sidecar注入状态 #

• 检查客户端应用和pgbouncer的Pod，确认是否包含istio-proxy容器：

  kubectl get pods -n <namespace> -o jsonpath='{.items[*].spec.containers[*].name}' | grep istio-proxy
  

• 若未注入，开启命名空间自动注入：

  kubectl label namespace <namespace> istio-injection=enabled
  

  或手动重启Pod触发注入。

3. 配置Istio流量规则 #

为pgbouncer添加DestinationRule，明确TCP流量的处理策略，确保Istio正确识别服务：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: pgbouncer
  namespace: pgbouncer
spec:
  host: pgbouncer.pgbouncer.svc.cluster.local
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 5432
      tcp:
        connectTimeout: 30s # 可选：配置TCP连接超时

4. 检查Sidecar路由配置 #

通过istioctl查看pgbouncer Pod的Sidecar路由，确认是否生成了针对自身服务的路由（而非透传路由）：

istioctl pc routes <pgbouncer-pod-name> -n pgbouncer

若输出中存在pgbouncer.pgbouncer.svc.cluster.local的路由条目，说明配置生效。

5. 排查托管ASM配置 #

在GCP控制台的ASM管理界面，检查是否存在限制TCP流量追踪的默认规则，必要时添加自定义规则允许Istio处理5432端口的PostgreSQL流量。

内容的提问来源于stack exchange，提问作者Sanjay M. P.