Istio证书验证失败求助：重启Docker Desktop后出现TLS错误

排查与修复步骤 #

1. 确认Istio控制平面状态 #

先检查istiod pod是否正常运行，证书签发服务是否可用：

kubectl get pods -n istio-system

若istiod存在异常，直接重启控制平面：

kubectl rollout restart deployment istiod -n istio-system

2. 重启业务Pod刷新Sidecar证书 #

Istio Sidecar的证书由istiod签发，Docker重启后可能存在证书过期或未同步的情况，重启业务Pod让Sidecar重新拉取有效证书：

kubectl rollout restart deployment productpage-v1 -n default
# 若有其他关联服务，同步重启
kubectl rollout restart deployment details-v1 ratings-v1 reviews-v1 -n default

3. 校验mTLS策略配置 #

检查当前命名空间的mTLS策略是否正常，避免配置意外变更：

kubectl get peerauthentication -n default
kubectl get destinationrule -n default

确保DestinationRule的TLS模式为ISTIO_MUTUAL，如果配置异常，重新应用正确规则：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: default
spec:
  host: "*.default.svc.cluster.local"
  trafficPolicy:
    tls:
      mode: ISTIO_MUTUAL

4. 清理过期证书Secret（极端场景） #

若上述步骤无效，手动删除业务Pod关联的Istio证书Secret，触发重新签发：

# 列出目标命名空间下的Istio证书Secret
kubectl get secrets -n default | grep istio
# 删除指定Secret
kubectl delete secret <对应secret名称> -n default
# 重启对应业务Pod

5. 检查Docker网络连通性 #

Docker重启可能导致虚拟网络变更，验证Istio组件间网络是否通畅：

# 进入入口网关Pod，ping业务服务IP
kubectl exec -it <istio-ingressgateway-pod名称> -n istio-system -- ping 10.1.0.253

若网络不通，检查Docker网络设置，确认虚拟子网未被重置。

内容的提问来源于stack exchange，提问作者Snowcrash