Istio端口相同时无监听器注册导致ALB返回502问题问询

问题根因 #

Istio 1.10版本的istio-ingressgateway默认以非root用户（UID 1337）运行，Linux系统默认限制非root用户无法绑定1024以下的特权端口（如80、443）。你配置Gateway监听80端口时，ingressgateway无法正常创建对应监听器，ALB转发流量到80端口无响应返回502；9000属于1024以上的非特权端口，因此可以正常创建监听器。

解决方案 #

方案1：授予ingressgateway绑定特权端口的权限 #

修改istio-ingressgateway部署的安全上下文，添加NET_BIND_SERVICE能力，允许非root用户绑定特权端口：

• 若使用Helm安装Istio，在values配置中新增如下内容后重新apply：

gateways:
  istio-ingressgateway:
    securityContext:
      capabilities:
        add:
        - NET_BIND_SERVICE

• 若已完成部署，直接编辑现有Deployment：

kubectl edit deployment istio-ingressgateway -n istio-system

找到securityContext字段，添加上述capabilities配置后保存，等待Pod自动重启即可。

方案2：调整端口映射规避特权端口限制 #

如果不需要授予额外特权，可以调整端口配置实现业务要求：

1. 修改istio-ingressgateway的Service配置，将80端口的targetPort改为非特权端口（如8080），Service对外的port仍保留80：

ports:
  - name: http2
    port: 80
    targetPort: 8080
    protocol: TCP
    nodePort: 31231

2. 调整对应的Istio Gateway配置，将监听端口改为8080即可。

验证步骤 #

注意：请确认你部署的bookinfo对应的Istio Gateway资源的selector匹配istio-ingressgateway的标签（默认是istio: ingressgateway），端口配置与监听要求一致。

配置更新后等待istio-ingressgateway Pod重启完成，执行以下命令确认监听器已创建：

istioctl proxy-config listeners -n istio-system <your-ingressgateway-pod-name>

确认输出中存在80端口的监听规则后，再次访问ALB地址的/productpage路径即可正常访问。

内容的提问来源于stack exchange，提问作者zeletrik