Istio技术问题：向特定外部端点HTTP请求添加自定义请求头失败

你的配置存在两个核心问题：

1. ServiceEntry端口协议配置错误：将端口协议设为TLS后，Istio会把流量当作TLS透传处理，无法解析HTTP内容，导致VirtualService中的HTTP请求头修改规则无法生效。
2. 流量识别不匹配：因为流量被识别为TLS类型，即便VirtualService的请求头配置位置正确，也无法触发对应的规则。

1. 调整ServiceEntry，将端口协议改为HTTP #

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: httpbin-se
spec:
  exportTo:
  - .
  hosts:
  - httpbin.org
  location: MESH_EXTERNAL
  ports:
  - name: http-port
    number: 443
    protocol: HTTP  # 修改为HTTP协议，让Istio能解析流量内容
  resolution: NONE

2. 添加DestinationRule，配置TLS发起（将内部HTTP请求转为HTTPS发送到外部） #

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: httpbin-dr
spec:
  host: httpbin.org
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 443
      tls:
        mode: SIMPLE  # 启用TLS发起，向外部服务发送HTTPS请求

3. 保留原VirtualService（请求头配置位置正确，无需修改） #

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: httpbin-vs
spec:
  hosts:
  - httpbin.org
  http:
  - route:
    - destination:
        host: httpbin.org
      weight: 100
      headers:
        request:
          add:
            test-header: xyz

重新应用所有配置后，再次执行测试命令：

curl -X GET "https://httpbin.org/headers" -H "accept: application/json"

此时返回的headers中会包含test-header: xyz。

如果你的Istio版本为1.10及以上，也可以直接将ServiceEntry的端口协议设为HTTPS，配合原VirtualService的HTTP规则使用，不过上述方案兼容性更强，适用于大多数Istio版本。

内容的提问来源于stack exchange，提问作者dinup24