升级Anthos Service Mesh至1.12+后DB2连接中断问题求助

问题背景 #

• 环境：GKE私有集群，Anthos Service Mesh（ASM）1.11升级至1.12+，集群组项目为独立Google项目
• 现象：原ASM 1.11下Java应用可正常连接集群外DB2数据库，升级并注入sidecar后连接中断
• 状态：已联系Google支持，暂未得到解决方案

核心排查方向 #

1. 出站流量策略变更验证 #

ASM 1.12调整了默认出站流量处理逻辑，需确认以下配置：

• 检查IstioOperator的outboundTrafficPolicy.mode：若为REGISTRY_ONLY，必须为DB2添加ServiceEntry声明外部服务：

  apiVersion: networking.istio.io/v1alpha3
  kind: ServiceEntry
  metadata:
    name: db2-external-service
  spec:
    hosts:
    - <your-db2-host-fqdn>
    ports:
    - number: <db2-port> # 通常为50000
      name: tcp-db2
      protocol: TCP
    resolution: DNS
    location: MESH_EXTERNAL
  

• 排查是否存在AuthorizationPolicy或PeerAuthentication规则，拦截了去往DB2的出站流量

2. 私有集群网络连通性检查 #

• 确认GKE私有集群的节点池云NAT配置正常，sidecar需通过NAT访问外部DB2，检查NAT规则是否覆盖集群节点网段
• 验证防火墙规则：确保允许集群节点IP段访问DB2的目标IP和端口

3. Sidecar与Java应用网络冲突排查 #

• 查看sidecar日志，过滤DB2相关流量，定位连接失败原因：

  kubectl logs <your-app-pod-name> istio-proxy | grep <db2-host>
  

• 检查Java应用的DB2连接配置：是否使用了本地代理、特定端口，是否与sidecar劫持的端口冲突；确认JVM参数未修改网络栈行为

4. 跨项目集群组配置兼容性 #

• 对比ASM 1.11与1.12的跨项目集群组配置，确认MeshConfig中的trustDomain是否一致，跨项目身份验证资源（如ClusterRoleBinding）是否适配新版本要求
• 重新校验ASM安装时的跨项目权限配置，确保集群组项目与GKE集群项目间的权限链路完整

5. DB2端日志分析 #

• 查看DB2数据库的连接日志，确认是否收到集群侧的连接请求，排查是否存在IP拦截、认证失败、协议不兼容等问题

内容的提问来源于stack exchange，提问作者brantgurga