Istio Sidecar未按预期限制Pod连接问题求助

你遇到的问题核心在于Istio默认的出站流量策略，以及Sidecar配置的生效逻辑：

1. 根本原因：默认出站策略为ALLOW_ANY #

Istio默认的outboundTrafficPolicy.mode是ALLOW_ANY，这意味着：当Sidecar代理收到一个不在其配置的集群（clusters）列表中的请求时，它会直接将流量转发到目标地址，而不是拒绝。

你通过istioctl proxy-config clusters看到的确实只有details和reviews的集群配置，但因为ALLOW_ANY策略，Sidecar会放行所有未被明确配置的流量，所以curl productpage:9080能成功返回结果。

2. 解决步骤 #

方法一：全局启用严格出站策略（推荐） #

修改Istio的Mesh配置，将出站策略设为REGISTRY_ONLY，这样Sidecar只会允许访问配置在集群列表中的服务：

apiVersion: istio.io/v1alpha1
kind: MeshConfig
metadata:
  name: default
spec:
  outboundTrafficPolicy:
    mode: REGISTRY_ONLY

应用配置后，滚动更新ratings Deployment（或重启Sidecar），此时再访问productpage:9080就会被Sidecar拒绝。

额外检查点 #

• 确认Sidecar资源已正确创建：执行kubectl get sidecar bookinfo-ratings-sidecar -n default，确保状态正常。
• 确认ratings Pod的标签与workloadSelector匹配：执行kubectl describe pod ratings-v1-5f9699cfdf-hb2gd | grep Labels，确认存在app: ratings标签。
• 验证Sidecar配置已推送到代理：执行istioctl proxy-config sidecar ratings-v1-5f9699cfdf-hb2gd，查看是否包含你定义的egress hosts。

补充说明 #

当你设置REGISTRY_ONLY后，若需要访问网格外的服务，需通过ServiceEntry将其配置到Istio中，否则这些流量也会被拒绝。但Bookinfo示例的所有服务都在网格内，只需确保Sidecar的egress包含需要的服务即可。

内容的提问来源于stack exchange，提问作者Sh.F