如何配置Kubernetes Service访问带TLS的外部API并保留原Host头

1. 修正ExternalName Service配置 #

你的ExternalName Service配置存在错误：externalName字段仅需填写目标服务的域名，不需要添加https://前缀。修正后的配置如下：

apiVersion: v1
kind: Service
metadata:
  name: testservice1
spec:
  externalName: service1.externalservice.com
  ports:
  - name: https
    port: 443
    protocol: TCP
    targetPort: 443
  type: ExternalName

2. 用Istio VirtualService配置路由与Host头转发 #

要让目标服务通过TLS校验，必须确保请求的Host头为service1.externalservice.com。借助Istio VirtualService可以直接修改请求头，并配置路由规则：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: external-service-vs
spec:
  hosts:
  - service1.mycluster.com
  gateways:
  - istio-ingressgateway # 替换为你的Istio ingress网关名称
  http:
  - match:
    - uri:
        prefix: /
    route:
    - destination:
        host: testservice1.default.svc.cluster.local # 替换为你的Service的完整FQDN（命名空间+服务名）
        port:
          number: 443
    headers:
      request:
        set:
          Host: service1.externalservice.com # 强制设置请求Host头为外部服务域名

3. 配置Istio DestinationRule处理TLS验证 #

针对外部服务的TLS证书验证，提供两种方案：

方案一：跳过TLS验证（测试环境适用） #

如果是测试场景或无法获取外部服务的CA证书，可以跳过验证：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: external-service-dr
spec:
  host: testservice1.default.svc.cluster.local # 对应Service的FQDN
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 443
      tls:
        mode: SIMPLE
        insecureSkipVerify: true # 跳过证书验证

方案二：使用CA证书验证（生产环境推荐） #

生产环境建议严格验证证书，需先将外部服务的CA证书导入Kubernetes Secret：

kubectl create secret generic external-service-ca --from-file=ca.crt=/path/to/your/external-service-ca.crt

然后配置DestinationRule引用该Secret：

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: external-service-dr
spec:
  host: testservice1.default.svc.cluster.local
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 443
      tls:
        mode: SIMPLE
        caCertificates: external-service-ca # 引用创建的CA证书Secret

4. 关于Ingress的说明 #

如果继续使用现有Kubernetes Ingress配置，需确保Ingress的流量能被Istio接管（例如Istio已注入ingress控制器的sidecar）。更推荐的方式是直接使用Istio Gateway替代Kubernetes Ingress，这样可以更无缝地集成Istio的流量管理能力。

内容的提问来源于stack exchange，提问作者jacob gathercole