Istio出口外部服务流量Jaeger无追踪及统计问题咨询

这个情况绝对不是正常行为——Istio完全支持追踪出口到外部服务的流量，只是你的配置还没到位。我来帮你拆解原因、澄清误区，再给出具体的解决步骤：

一、为什么看不到外部服务的追踪数据？ #

主要是这几个配置漏洞：

1. ServiceEntry没关联Egress Gateway：你当前的ServiceEntry只定义了外部服务的基本信息，但没指定流量要走Istio的Egress Gateway，也没开启流量代理的追踪策略。如果业务服务的流量直接绕过Sidecar/Egress Gateway发出去，Istio根本抓不到这些请求，自然没法生成追踪Span。
2. 缺少流量路由规则：就算你开了Egress Gateway，也得告诉Istio“把这个外部服务的流量转发到Egress Gateway”，不然Sidecar不知道该把请求发给谁。
3. 追踪配置可能没全局生效：虽然你手动传了追踪头，但Istio的Sidecar/Egress Gateway需要主动拦截流量、生成并上报Span。如果全局追踪采样率太低，或者Egress Gateway的追踪开关没开，也会导致数据缺失。

二、Istio真的只能统计内部调用？ #

当然不是！Istio的追踪能力覆盖所有经过它代理的流量，不管是内部服务间调用，还是出口到外部的请求——只要配置正确，Jaeger里能看到完整的调用链：业务服务 → Sidecar/Egress Gateway → 外部服务（如果外部服务也支持追踪，还能看到对方的Span）。

三、实现出口流量追踪的具体操作 #

1. 升级你的ServiceEntry，关联Egress Gateway #

修改external-service1的ServiceEntry，添加trafficPolicy指定流量走Egress Gateway，同时配置TLS（针对HTTPS服务）：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: external-service1
spec:
  hosts:
  - external-service1.com
  ports:
  - number: 80
    name: http
    protocol: HTTP
  - number: 443
    name: https
    protocol: HTTPS
  resolution: DNS
  location: MESH_EXTERNAL
  trafficPolicy:
    # 针对HTTPS服务，需要配置SIMPLE模式；HTTP服务可以去掉这段tls配置
    tls:
      mode: SIMPLE
    # 指定流量转发到Egress Gateway
    destination:
      service: istio-egressgateway.istio-system.svc.cluster.local

2. 配置VirtualService和DestinationRule，路由流量到Egress Gateway #

需要创建两个资源：一个VirtualService负责把内部流量导去Egress Gateway，一个DestinationRule给Egress Gateway定义外部服务的子集（处理HTTPS的SNI）：

# VirtualService：路由外部服务流量到Egress Gateway
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: external-service1-vs
spec:
  hosts:
  - external-service1.com
  gateways:
  - mesh # 覆盖内部服务的调用
  - istio-egressgateway
  http:
  - match:
    - gateways:
      - mesh
      port: 80
    route:
    - destination:
        host: istio-egressgateway.istio-system.svc.cluster.local
        subset: external-service1
        port:
          number: 80
  - match:
    - gateways:
      - mesh
      port: 443
    route:
    - destination:
        host: istio-egressgateway.istio-system.svc.cluster.local
        subset: external-service1
        port:
          number: 443
---
# DestinationRule：给Egress Gateway配置外部服务的SNI
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: egressgateway-for-external-service1
spec:
  host: istio-egressgateway.istio-system.svc.cluster.local
  subsets:
  - name: external-service1
    trafficPolicy:
      tls:
        mode: SIMPLE
        sni: external-service1.com # HTTPS必须指定SNI，不然握手会失败

3. 确认全局追踪配置生效 #

检查Istio的全局配置，确保追踪采样率足够高（测试阶段可以设为100%），并且Jaeger地址配置正确：
如果是用Helm安装的Istio，检查values.yaml里的这段：

meshConfig:
  defaultConfig:
    tracing:
      sampling: 100.0 # 测试时设为100%，生产环境可以调整
      zipkin:
        address: jaeger-collector.istio-system.svc.cluster.local:9411

如果是用istioctl安装，确保安装参数里包含了追踪相关的配置。

4. 验证效果 #

部署完所有配置后，重新发起业务服务对external-service1.com的调用，再打开Jaeger界面：

• 你应该能看到业务服务的Span，接着是Egress Gateway的Span；如果外部服务也支持B3追踪头，还能看到对方返回的Span，形成完整的调用链。

额外排查小技巧 #

• 检查业务服务的Sidecar日志（kubectl logs <业务Pod> -c istio-proxy），看有没有拦截到外部服务的请求，有没有追踪相关的报错。
• 确认你手动传递的追踪头格式正确：比如x-b3-traceid是32位十六进制字符串，x-b3-spanid是16位，x-b3-sampled是1或0。

内容的提问来源于stack exchange，提问作者user60108