Istio出口流量路由：无出口网关时重试规则不生效问题

核心结论 #

配置Egress Gateway（出口网关）不是出口流量重试规则生效的必要条件。不部署出口网关的前提下，只要流量规则配置符合Istio的流量治理逻辑，Pod侧的Sidecar代理就可以直接对发往MESH_EXTERNAL类型外部服务的流量执行重试逻辑。

当前配置不生效的常见原因 #

• HTTPS流量透传导致Sidecar无法识别HTTP层语义：你当前ServiceEntry中443端口协议配置为TLS，如果业务应用直接通过HTTPS协议访问httpbin.org:443，TLS加密握手由应用层直接完成，Sidecar只能看到透传的加密字节流，无法识别HTTP状态码、连接错误等七层信息，自然无法触发基于HTTP语义的重试规则。
• 规则匹配范围偏差：你当前VirtualService中定义的http类型规则，默认只会匹配明文HTTP端口（80端口）的流量，无法命中443端口的透传TLS流量，重试规则不会被触发。
• 资源导出范围限制：你当前ServiceEntry的exportTo字段配置为"."，代表该资源仅在当前部署命名空间生效，如果调用方服务、VirtualService资源位于其他命名空间，会出现规则匹配失效的问题。

无Egress Gateway场景的可生效配置方案 #

核心思路是让Sidecar代理完成到外部服务的TLS握手（即TLS源发），Sidecar持有明文HTTP流量上下文，即可正常执行重试判断。
配置调整分为三步：

1. 修改ServiceEntry中443端口的协议为HTTPS，调整资源导出范围覆盖所有调用方命名空间
2. 新增DestinationRule，配置访问外部HTTPS服务时由Sidecar自动发起简单TLS握手
3. 调整VirtualService路由规则，明确指定路由到443HTTPS端口

完整配置参考：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: httpbin-external
spec:
  hosts:
    - httpbin.org
  ports:
    - number: 80
      name: http
      protocol: HTTP
    - number: 443
      name: https
      protocol: HTTPS
  resolution: DNS
  location: MESH_EXTERNAL
  exportTo:
  - "*"
---
apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: httpbin-external
spec:
  host: httpbin.org
  trafficPolicy:
    tls:
      mode: SIMPLE
---
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: external-httpbin
spec:
  hosts:
    - httpbin.org
  http:
  - timeout: 3s
    route:
      - destination:
          host: httpbin.org
          port:
            number: 443
        weight: 100
    retries:
      attempts: 5
      perTryTimeout: 2s
      retryOn: gateway-error,connect-failure,refused-stream,retriable-4xx,5xx

注意：使用该配置时，业务应用需要以http://httpbin.org:443的地址发起请求，不要在应用层主动发起HTTPS加密，TLS握手由Sidecar自动完成，Sidecar可获取完整HTTP响应信息，重试规则即可正常触发。如果你仅访问80端口的明文HTTP服务，只需调整ServiceEntry的exportTo范围，原有重试规则即可生效。

需要搭配Egress Gateway的场景 #

出口网关并非重试功能的依赖项，仅在以下场景建议部署使用：

• 需要对集群所有出口流量做集中的访问控制、审计日志、统一限流
• 需要给所有出口流量附加统一的mTLS源身份标识
• 集群网络策略严格限制Pod直接访问公网，必须通过指定网关节点出网

内容的提问来源于stack exchange，提问作者Upen