如何在Istio中暴露gRPC？Istio-ingress能否兼容gRPC？

当然可以通过 Istio Ingress（或者更推荐的 Istio Gateway + VirtualService）来暴露和管理 gRPC 服务，下面结合你提供的配置示例，梳理关键要点和修正后的配置：

一、核心配置要点 #

• gRPC 基于 HTTP/2 协议传输，必须确保 Service 和 Istio Ingress 配置能正确识别 HTTP/2 流量
• 生产环境推荐用 TLS 加密传输，可选择让 Istio 处理 TLS 终止，或者开启 SSL 透传直接将加密流量转发到后端服务

二、修正后的 K8s Ingress + Service 配置 #

首先调整 Service 配置，开启 protocol: HTTP2，这是 Istio 识别 gRPC 流量的关键：

apiVersion: v1
kind: Service
metadata:
  name: grpc-service
spec:
  selector:
    app: grpc
  ports:
  - port: 3000
    name: grpc
    protocol: HTTP2  # 必须开启，标识该端口承载HTTP2流量
    targetPort: 3000

然后完善 Ingress 配置，注意 Istio 的 ingress.class 为 istio，如果需要 TLS 加密可按需配置：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: grpc-ingress
  annotations:
    kubernetes.io/ingress.class: "istio"
    # 若需直接透传TLS流量到后端服务，开启此注解
    # ingress.kubernetes.io/ssl-passthrough: "true"
spec:
  # 如需TLS加密，添加以下配置块（替换为你的域名和证书Secret）
  # tls:
  # - hosts:
  #   - your-grpc-domain.com
  #   secretName: grpc-tls-secret
  rules:
  - host: your-grpc-domain.com  # 替换为你的实际域名
    http:
      paths:
      - path: /*  # gRPC请求路径匹配，通常用/*即可覆盖所有服务接口
        backend:
          serviceName: grpc-service
          servicePort: grpc

三、更推荐的 Istio Gateway + VirtualService 方案 #

Istio 原生的 Gateway 和 VirtualService 对 gRPC 支持更灵活，功能也更丰富，示例配置如下：

1. Istio Gateway 配置 #

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: grpc-gateway
spec:
  selector:
    istio: ingressgateway  # 使用默认的Istio入口网关
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      credentialName: grpc-tls-secret  # 你的TLS证书Secret名称
    hosts:
    - your-grpc-domain.com
  # 测试环境如需明文HTTP2访问，可添加以下配置块
  # - port:
  #     number: 80
  #     name: http2
  #     protocol: HTTP2
  #   hosts:
  #   - your-grpc-domain.com

2. Istio VirtualService 配置 #

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: grpc-virtualservice
spec:
  hosts:
  - your-grpc-domain.com
  gateways:
  - grpc-gateway
  http:
  - match:
    - uri:
        prefix: /  # 匹配所有gRPC请求路径
    route:
    - destination:
        host: grpc-service
        port:
          number: 3000

四、验证方法 #

可以用 grpcurl 工具验证服务是否正常访问：

# 明文访问测试（若配置了明文端口）
grpcurl -plaintext your-grpc-domain.com:80 your.grpc.package.Service/Method

# TLS加密访问测试
grpcurl your-grpc-domain.com:443 your.grpc.package.Service/Method

内容的提问来源于stack exchange，提问作者Chris G.