启用Envoy代理的Pod内服务无法连接Redis Pod求解决方案

我来帮你梳理下可能的问题点和解决思路，毕竟带Envoy Sidecar的服务访问Redis这类状态服务确实容易踩一些坑：

• 修正目标服务配置的精度
  你当前配置里的destination: service: "*"太宽泛了，Envoy很难精准定位到Redis服务。建议把这里替换成Redis对应的Kubernetes Service名称，比如你的Redis Service叫redis，就改成：

  spec: 
    destination: 
      service: "redis"
    ports: 
      - port: 6379 
        protocol: redis
  

  明确的服务名能让Envoy正确路由流量，避免模糊匹配导致的路由混乱。

• 验证Envoy的Redis协议过滤器是否生效
  虽然你指定了protocol: redis，但要确认Envoy Sidecar是否正确加载了Redis协议处理逻辑。可以进入带Envoy的Pod，执行curl localhost:15000/config_dump（默认Admin端口是15000），查看配置输出里是否有针对6379端口的redis_proxy过滤器，这是Envoy处理Redis协议的关键组件。

• 排查网络策略与Sidecar拦截规则

  • 检查集群中是否有Kubernetes NetworkPolicy限制了Envoy Sidecar所在Pod与Redis服务的通信，确保允许来自Sidecar所在Namespace的流量访问Redis的6379端口。
  • 如果是用Istio注入的Sidecar，确认Istio的出站规则是否允许访问Redis服务的端口，有没有全局拦截策略把Redis流量给阻断了。

• 检查mTLS配置（若集群启用了）
  如果你的集群开启了Istio的强制mTLS模式，但Redis服务没有配置Sidecar或者对应的mTLS证书，Envoy发起的加密请求会被Redis拒绝。可以先尝试临时给Redis服务加个注解来排除mTLS：traffic.sidecar.istio.io/excludeOutboundPorts: "6379"，或者检查Istio的DestinationRule是否允许明文访问Redis。

• 查看日志定位具体错误

  • 进入带Envoy的Pod，查看Sidecar的日志：kubectl logs <你的Pod名称> -c istio-proxy（Istio注入的Sidecar容器默认叫istio-proxy），看看有没有连接超时、路由失败或者协议不匹配的报错信息。
  • 同时查看应用容器的日志，确认连接错误的具体类型（是连接超时还是被拒绝），这能帮你快速缩小排查范围。

• 确认Redis的访问域名是否正确
  确保你的应用连接Redis时用的是Kubernetes Service的完整域名（比如redis.default.svc.cluster.local），而不是直接用IP地址。因为Envoy是基于服务名做路由的，直接用IP可能绕过Envoy的路由规则，或者导致Envoy无法识别目标服务。

内容的提问来源于stack exchange，提问作者learner