Istio-proxy未收到主机请求：Express客户端无法访问排查求助

• 客户端应用监听配置错误
  Express默认只监听localhost，如果容器里的应用绑定的是127.0.0.1，Istio proxy根本没法把流量转发进去。检查你的Express代码里的app.listen调用，必须改成绑定0.0.0.0，比如app.listen(3000, '0.0.0.0')。另外可以直接进客户端Pod里（跳过proxy），执行curl localhost:3000（替换成你的应用端口），如果连这个都访问失败，那问题肯定出在应用本身。

• Istio Sidecar注入异常
  别光看配置，实际检查客户端Pod的sidecar状态：执行kubectl describe pod <client-pod-name>，看看istio-proxy容器是不是存在且处于Running状态。再拉取sidecar的日志kubectl logs <client-pod-name> istio-proxy，有没有初始化失败的报错，比如端口冲突、配置加载失败之类的。

• Service配置不匹配
  核对客户端对应的Service：标签选择器是不是和Pod的标签对上了？targetPort是不是和Express应用监听的端口一致？比如应用跑在3000，Service的targetPort不能写成8080。还可以在集群内随便找个Pod，用Service的ClusterIP访问试试curl <client-service-cluster-ip>:<port>，如果这个也连不上，说明Service到Pod的路由本身就有问题。

• Gateway/VirtualRoute配置遗漏
  服务器能访问不代表客户端的Gateway规则也配对了。检查客户端对应的Gateway是不是包含了你的主机域名，VirtualRoute是不是正确关联了Gateway，并且destination.host指向的是客户端Service的FQDN（比如client-service.default.svc.cluster.local）。直接把服务器的配置和客户端的对比，大概率能找到漏配的地方。

• 网络策略或权限规则拦截
  看看有没有针对客户端Namespace或者Pod的NetworkPolicy，是不是把外部流量给挡住了？另外检查Istio的AuthorizationPolicy，有没有规则拒绝了这个主机的访问请求。如果环境允许，临时把相关的AuthorizationPolicy删掉试试，看能不能恢复访问，快速定位问题。

• DNS解析失败
  客户端的主机URL可能没解析到Istio Gateway的IP。在集群里随便找个Pod执行nslookup <client-host-url>，看看返回的IP是不是Gateway的地址。如果解析不对，要么是DNS配置有问题，要么是Ingress Gateway的域名绑定没做好。

内容的提问来源于stack exchange，提问作者Nathan Drake