Istio 1.10.3外部访问Pilot连接中断重启ingress恢复该如何排查？

以下是针对你当前场景需要优先检查调整的配置项：

• 检查空闲超时配置
  Istio默认的HTTP/TCP连接空闲超时为3600s（1小时），如果长连接超过该时长无流量会被Envoy主动断开，且默认不会自动恢复。你需要检查对应Pilot服务的VirtualService配置，确认是否显式设置了过短的idle_timeout，或者该参数取值和后端Pilot、中间链路（负载均衡、防火墙）的超时配置不匹配。
  示例配置参考：

  apiVersion: networking.istio.io/v1beta1
  kind: VirtualService
  metadata:
    name: pilot-vs
  spec:
    hosts:
    - pilot.example.com
    http:
    - route:
      - destination:
          host: pilot
      timeout: 0s # 不设置主动超时，按需调整
      idleTimeout: 7200s # 延长空闲超时到2小时
  

• 检查连接池与TCP保活配置
  1.10.3版本默认没有开启合理的TCP保活探测，中间链路断开空闲连接后，Ingress Gateway会继续持有无效旧连接，导致新请求无法正常转发。你需要在Pilot服务对应的DestinationRule中添加TCP保活配置：

  apiVersion: networking.istio.io/v1beta1
  kind: DestinationRule
  metadata:
    name: pilot-dr
  spec:
    host: pilot
    trafficPolicy:
      connectionPool:
        tcp:
          maxConnections: 1024 # 按需调整连接上限
          tcpKeepalive:
            time: 120s # 连接空闲120s后开始发探测包
            interval: 30s # 探测包间隔30s
            probes: 9 # 连续9次探测失败标记连接失效
  

• 检查Istio已知版本bug
  Istio 1.10.x已经停止官方维护，该版本存在多个已知的xDS增量推送bug，会导致Ingress Gateway无法同步最新的后端端点配置，重启后全量拉取配置就会恢复。你可以先查看istiod的日志，排查是否有xDS推送失败、端点更新重复触发的报错，如果确认是版本bug，建议升级到1.13+的长期支持版本。
• 检查Ingress Gateway资源占用
  执行kubectl top pod -n istio-system查看ingressgateway的CPU、内存占用，确认是否存在CPU限流、OOM被kill的情况，如果资源不足需要调高Gateway的资源配额，避免Envoy因为资源不足主动断开连接。
• 排查连接断开根因
  你可以临时开启Ingress Gateway的debug日志，查看连接断开时的错误码：

  istioctl proxy-config log <ingressgateway-pod-name> -n istio-system --level debug
  

  从日志中确认连接断开是主动超时、远端重置还是配置更新导致，进一步缩小排查范围。

内容的提问来源于stack exchange，提问作者Vadim Sohin