实例配置相关诊断项说明

异常示例

在以下例子中，VirtualService 指向了一个不存在的网关：

apiVersion: networking.istio.io/v1
kind: Gateway
metadata:
  name: httpbin-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http2
      protocol: HTTP2
    hosts:
    - "*"
---
apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: httpbin
spec:
  hosts:
  - "*"
  gateways:
  - httpbin-gateway-bogus # 应该是 "httpbin-gateway"
  http:
  - route:
    - destination:
        host: httpbin-gateway

您会收到这个消息：

Error [IST0101] (VirtualService httpbin.default) Referenced gateway not found: "httpbin-gateway-bogus"

修复方式

请在详细的错误消息中找到资源类型，修正 Istio 配置并重试。

异常示例

以下示例中，命名空间 team1 的 VirtualService productpage 与命名空间 team2 的 VirtualService custom 存在冲突：

apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: productpage
  namespace: team-1
spec:
  hosts:
  - productpage.default.svc.cluster.local
  http:
  - route:
    - destination:
        host: productpage
---
apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: custom
  namespace: team-2
spec:
  hosts:
  - productpage.default.svc.cluster.local
  http:
  - route:
    - destination:
        host: productpage.team-2.svc.cluster.local
---

• 因为自定义 Gateway 未被指定，所以 VirtualService 挂接到了默认的 “mesh” Gateway。

• VirtualService 都定义了相同的主机 productpage.default.svc.cluster.local。

修复方式

有以下几个方法：

• 将冲突的 VirtualService 合并为一个

• 连接 Gateway 的 VirtualService 使用唯一的主机名

• 通过设置 exportTo 字段，将资源范围限定到指定的命名空间。例如

  apiVersion: networking.istio.io/v1
  kind: VirtualService
  metadata:
    name: productpage
    namespace: team-1
  spec:
    exportTo:
    - "."
    hosts:
    - productpage.default.svc.cluster.local
    http:
    - route:
      - destination:
          host: productpage
  ---
  apiVersion: networking.istio.io/v1
  kind: VirtualService
  metadata:
    name: custom
    namespace: team-2
  spec:
    exportTo:
    - "."
    hosts:
    - productpage.default.svc.cluster.local
    http:
    - route:
      - destination:
          host: productpage.team-2.svc.cluster.local
  ---

异常示例

当集群包含以下 AuthorizationPolicy 时：

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin-nopods
  namespace: httpbin
spec:
  selector:
    matchLabels:
      app: bogus-label # 标签有误，没有匹配的工作负载
      version: v1
  rules:
    - from:
        - source:
            principals: ["cluster.local/ns/default/sa/curl"]
        - source:
            namespaces: ["httpbin"]
      to:
        - operation:
            methods: ["GET"]
            paths: ["/info*"]
        - operation:
            methods: ["POST"]
            paths: ["/data"]
      when:
        - key: request.auth.claims[iss]
          values: ["https://accounts.google.com"]

您会收到此消息：

Warning [IST0127] (AuthorizationPolicy httpbin-nopods.httpbin) No matching workloads for this resource with the following labels: app=bogus-label,version=v1

此示例中，AuthorizationPolicy 资源 httpbin-nopods 需要绑定到包含 app=bogus-label 标签的 Pod 上，但是其不存在。

修复方式

• 修改选择器 selector 以选择存在的 Pod

• 修改特定 Pod 的标签以匹配此资源的选择器

异常示例

当您的集群中包含以下 VirtualService 和Gateway时：

apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: testing-service
  namespace: default
spec:
  gateways:
  - istio-system/testing-gateway
  hosts:
  - wrong.com
  http:
  - match:
    - uri:
        prefix: /
    route:
    - destination:
        host: ratings
---
apiVersion: networking.istio.io/v1
kind: Gateway
metadata:
  name: testing-gateway
  namespace: istio-system
spec:
  selector:
    istio: ingressgateway
  servers:
  - hosts:
    - testing.com
    port:
      name: http
      number: 80
      protocol: HTTP

您将会收到以下消息：

Warning [IST0132] (VirtualService testing-service.default testing.yaml:8) one or more host [wrong.com] defined in VirtualService default/testing-service not found in Gateway istio-system/testing-gateway.

在这个示例中， VirtualService testing-service 拥有域名 wrong.com， 但是该域名没有声明在网关 testing-gateway 中。

修复方式

确保 VirtualService 中所有 hosts 都已绑定到了相应的网关 hosts 中。

修复方式

请查看冲突的 Telemetry 资源并更新其工作负载选择器， 以确保每个 Pod 仅与一个 Telemetry 资源匹配。 您可能需要调整标签选择器或重新组织 Telemetry 资源以避免选择器产生重叠。

修复方式

请查看冲突的 Telemetry 资源并为每个资源定义适当的工作负载选择器。 通过指定工作负载选择器，您可以确保将每个 Telemetry 资源应用于预期的 Pod 集， 从而避免遥测配置中的潜在冲突和歧义。

异常示例

例如，您的配置定义如下：

# 端口定义错误的 Gateway

apiVersion: networking.istio.io/v1
kind: Gateway
metadata:
  name: istio-ingressgateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"
  - port:
      number: 8004
      name: http2
      protocol: HTTP
    hosts:
    - "*"
---

# 默认的网关 Service

apiVersion: v1
kind: Service
metadata:
  name: istio-ingressgateway
spec:
  selector:
    istio: ingressgateway
  ports:
  - name: status-port
    port: 15021
    protocol: TCP
    targetPort: 15021
  - name: http2
    port: 80
    protocol: TCP
    targetPort: 8080
  - name: https
    port: 443
    protocol: TCP
    targetPort: 8443

在此示例中，因为配置使用了端口 8004，但默认的 IngressGateway （名称为 istio-ingressgateway）只定义了目标端口 15021、8080 和 8443， 所以 GatewayPortNotDefinedOnService 消息出现。

修复方式

请更改网关配置以使用工作负载上的有效端口，然后重试。

以下是已更正的示例：

# 端口定义正确的 Gateway

apiVersion: networking.istio.io/v1
kind: Gateway
metadata:
  name: istio-ingressgateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 8080
      name: http2
      protocol: HTTP
    hosts:
    - "*"
  - port:
      number: 8443
      name: https
      protocol: HTTP
    hosts:
    - "*"