如何通过Istio出口网关路由MSSQL流量？求助排查

根据你描述的现象——配置VirtualService后MSSQL流量无日志、握手失败，删除后恢复正常，核心问题集中在路由规则的正确性或Istio对TCP流量的处理逻辑上，以下是具体排查步骤：

1. 校验ServiceEntry的TCP协议配置 #

MSSQL基于TCP协议，ServiceEntry必须明确指定协议类型，Istio对协议大小写敏感，需确保：

• spec.hosts严格匹配SQL Server的域名/IP
• spec.ports[0].protocol设为TCP，端口号为1433
• spec.resolution根据地址类型选择：域名用DNS，固定IP用STATIC
• spec.location设为MESH_EXTERNAL

示例正确配置片段：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: mssql-external
spec:
  hosts:
  - sql.yourdomain.com
  ports:
  - number: 1433
    name: tcp-mssql
    protocol: TCP
  resolution: DNS
  location: MESH_EXTERNAL

2. 检查VirtualService与出口网关的绑定逻辑 #

VirtualService需确保流量能被sidecar捕获并转发到出口网关，重点验证：

• spec.gateways必须同时包含mesh（让sidecar识别规则）和出口网关名称（如istio-egressgateway）
• spec.tcp.route.destination.host指向出口网关的集群内服务名（通常为istio-egressgateway.istio-system.svc.cluster.local）
• 匹配规则match[0].port严格对应1433端口

示例VirtualService配置：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: mssql-vs
spec:
  hosts:
  - sql.yourdomain.com
  gateways:
  - mesh
  - istio-egressgateway
  tcp:
  - match:
    - port: 1433
    route:
    - destination:
        host: istio-egressgateway.istio-system.svc.cluster.local
        port:
          number: 1433

同时确认出口网关的Gateway配置监听1433端口的TCP流量：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: istio-egressgateway
  namespace: istio-system
spec:
  selector:
    istio: egressgateway
  servers:
  - port:
      number: 1433
      name: tcp-mssql
      protocol: TCP
    hosts:
    - sql.yourdomain.com

3. 排查Istio对TCP流量的拦截逻辑 #

• 查看应用Pod的sidecar日志：执行kubectl logs <your-app-pod> istio-proxy，过滤TCP相关日志，确认是否有流量匹配失败或被拒绝的记录
• 检查sidecar监听器配置：用istioctl proxy-config listeners <your-app-pod>，确认1433端口的TCP流量已被监听，且对应路由规则存在
• 确认Istio全局出站策略：检查MeshConfig中的outboundTrafficPolicy.mode，如果是REGISTRY_ONLY，必须确保ServiceEntry已正确注册外部服务，否则流量会被直接拦截

4. 验证.Net 6 SQLConnection的适配性 #

• 检查连接字符串：若使用域名，需确保域名与ServiceEntry的hosts完全一致；若SQL Server使用自签名证书，Istio出口网关需配置TCP透传（而非TLS终止），避免握手冲突
• 重启应用Pod：SQLConnection默认使用连接池，旧连接可能未加载新的Istio路由规则，重启后测试是否恢复
• 禁用连接池测试：在连接字符串中添加Pooling=false，排除连接池导致的路由不生效问题

5. 测试出口网关的连通性 #

• 直接在出口网关Pod内执行nc -zv sql.yourdomain.com 1433，确认网关本身能访问SQL Server
• 查看出口网关日志：kubectl logs <egress-gateway-pod> istio-proxy，过滤TCP流量记录，确认是否有请求到达网关

内容的提问来源于stack exchange，提问作者sebgamby