Azure AKS集群中如何连接Istio Ingress负载均衡IP？

先明确：Azure LB公共IP默认不响应Ping #

Azure的公共负载均衡器IP默认屏蔽ICMP请求，所以ping <LB_IP>超时是正常现象，无需纠结，重点关注服务端口的连通性（如80、443）。

步骤1：验证Istio Ingress组件状态与配置 #

• 检查Istio IngressGateway Service的状态，确认外部IP已分配且服务正常运行：

  kubectl get svc istio-ingressgateway -n istio-system
  

  确保EXTERNAL-IP字段显示有效的公共IP，TYPE为LoadBalancer，READY状态为对应副本数的就绪状态。

• 检查Istio核心路由配置（Gateway与VirtualService）：

  # 查看Gateway端口监听规则
  kubectl get gateway -n istio-system -o yaml
  # 查看VirtualService路由关联与规则
  kubectl get virtualservice -o yaml
  

  重点确认：

  • Gateway中定义了需要访问的端口（如80、443）
  • VirtualService的gateways字段包含目标Gateway名称
  • VirtualService的hosts和http.paths规则匹配你要访问的路径

步骤2：检查Azure网络层面的访问限制 #

• NSG（网络安全组）规则：
  找到AKS节点对应的NSG，添加入站规则，允许测试IP（或临时允许0.0.0.0/0用于测试）访问Istio服务端口（如80、443）。

• Azure Load Balancer规则：
  在Azure门户中查看对应LB的入站规则，确认存在映射Istio IngressGateway Service端口的规则（比如Service的80端口映射到LB的80端口）。

• 网络策略/防火墙：

  • 检查AKS集群是否启用了Network Policy，确认没有阻止IngressGateway到后端服务的流量。
  • 若有Azure防火墙，检查是否存在拦截外部到LB IP流量的规则。

步骤3：测试服务端口的连通性 #

• 外部测试：
  改用telnet或curl测试服务端口，注意Istio路由通常依赖Host头，需指定对应Host：

  # 测试80端口连通性
  telnet <LB_IP> 80
  # 测试实际服务路径，替换为你的Host和路径
  curl http://<LB_IP>/your-service-path -H "Host: your-custom-host.com"
  

• 集群内部测试（验证服务本身可用性）：
  进入Istio的sleep Pod（未部署可执行kubectl apply -f samples/sleep/sleep.yaml，需确保Istio样本文件已下载），测试IngressGateway的ClusterIP：

  kubectl exec -n istio-system sleep-$(kubectl get pods -n istio-system -l app=sleep -o jsonpath='{.items[0].metadata.name}') -- curl http://istio-ingressgateway.istio-system.svc.cluster.local:80/your-service-path -H "Host: your-custom-host.com"
  

  若内部能访问，说明服务本身正常，问题出在外部网络或LB配置；若内部也无法访问，检查后端服务和Istio路由配置。

步骤4：查看Istio日志排查细节 #

• 查看Istio IngressGateway的代理日志，确认是否有流量到达或路由错误：

  kubectl logs -n istio-system istio-ingressgateway-$(kubectl get pods -n istio-system -l app=istio-ingressgateway -o jsonpath='{.items[0].metadata.name}') -c istio-proxy
  

  日志中若出现404 Not Found，说明路由规则不匹配；若出现连接超时，说明后端服务不可达。

内容的提问来源于stack exchange，提问作者shreya