istio ：安装参数之outboundTrafficPolicy.mode

最新推荐文章于 2025-09-03 00:28:09 发布

原创

最新推荐文章于 2025-09-03 00:28:09 发布 · 884 阅读

1 ·

CC 4.0 BY-SA版权

本文介绍了Istio mesh中的outboundTrafficPolicy配置选项，用于管理sidecar如何处理外部服务的访问。默认的ALLOW_ANY模式允许对未知服务的直接访问，而REGISTRY_ONLY则会阻止未在服务注册表中定义的服务。当设置为REGISTRY_ONLY时，需要创建ServiceEntry以允许特定外部服务的访问，例如`httpbin.org`。配置ServiceEntry后，外部服务的访问恢复正常。

背景：

Istio有一个安装选项meshConfig.outboundTrafficPolicy.mode，用于配置外部服务的sidecar处理，即那些未在Istio的内部服务注册表中定义的服务。如果此选项设置为ALLOW_ANY，则Istio代理允许对未知服务的调用通过。如果该选项设置为REGISTRY_ONLY，那么Istio代理将阻止没有在mesh中定义HTTP服务或服务条目的任何主机。ALLOW_ANY是默认值，无需控制对外部服务的访问。

实验

ALLOW_ANY情况下允许外部服务直接访问

在这里插入图片描述

REGISTRY_ONLY会down掉请求

在这里插入图片描述

此时需要创建serviceentry

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: httpbin-ext
spec:
  hosts:
  - httpbin.org
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  location: MESH_EXTERNAL