Istio EnvoyProxy访问日志：如何记录外部HTTPS调用？

你遇到的核心问题是：默认情况下，Istio对外部服务的TLS透传流量仅做L4层TCP转发，Envoy无法解析HTTP协议内容，因此日志中无法捕获HTTP方法、路径、响应码等字段，只能记录TCP层面的基础信息（如字节数、时长、IP地址）。而集群内服务调用通常是HTTP协议或Istio已终止TLS，所以能生成完整的HTTP访问日志。

针对这个问题，有两种可行的处理方式，根据你的需求选择：

方案1：配置ServiceEntry让Istio解析外部服务的HTTP流量 #

通过创建ServiceEntry将目标外部服务纳入Istio管理，指定协议为HTTPS/HTTP，让Envoy作为客户端发起TLS连接并解析HTTP内容，这样就能在日志中获取完整的HTTP字段。

以raw.githubusercontent.com为例，创建如下ServiceEntry：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: github-raw
spec:
  hosts:
  - raw.githubusercontent.com
  ports:
  - number: 443
    name: https
    protocol: HTTPS
  resolution: DNS
  location: MESH_EXTERNAL

应用该配置后，再调用目标外部服务，Envoy会解析HTTP流量，日志中就能显示请求方法、路径、响应码等详细信息。

方案2：自定义Envoy访问日志格式，适配L4透传场景 #

如果不想通过ServiceEntry管理外部服务，可以修改访问日志格式，补充L4层和TLS相关字段，让透传流量的日志更具可读性。

查看当前日志格式 #

先通过命令查看当前的Envoy日志配置：

istioctl proxy-config log <你的Pod名称> --namespace <命名空间>

修改全局日志格式 #

通过IstioOperator配置全局访问日志格式，兼顾HTTP和L4透传场景：

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    accessLogFormat: |
      [START_TIME] "%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%" %RESPONSE_CODE% %RESPONSE_FLAGS% %BYTES_RECEIVED% %BYTES_SENT% %DURATION% "%REQ(USER-AGENT)%" "%REQ(X-FORWARDED-FOR)%" "%UPSTREAM_CLUSTER%" "%UPSTREAM_ADDRESS%" "%DOWNSTREAM_REMOTE_ADDRESS%" "%REQ(SNI)%"
    accessLogFile: "/dev/stdout"

其中新增的%REQ(SNI)%字段可以记录TLS透传时的服务器名称标识，帮助你识别访问的外部域名；其他字段则保留了HTTP流量的核心信息，透传场景下HTTP相关字段会显示为-，但L4层面的信息会更完整。

应用上述配置后，重新执行外部服务调用命令：

curl -kv https://raw.githubusercontent.com/prometheus/prometheus/main/README.md

查看istio-proxy容器的日志，即可看到对应场景下的详细信息：

• 若使用方案1，会看到类似集群内调用的完整HTTP日志，包含响应码、请求路径等；
• 若使用方案2，透传流量的日志会补充SNI等字段，可读性更强。

内容的提问来源于stack exchange，提问作者Jerald Baker