从零搭建 Istio 服务网格

适用场景

需要统一服务间 mTLS、流量切分、重试超时、熔断和可观测性，但不想在每个应用里重复实现。适合已经运行在 Kubernetes 上、服务数量较多且有多团队协作的场景。

前置条件

• Kubernetes 集群，节点资源满足 Istio 控制面和数据面开销。
• istioctl 与集群版本匹配。
• 明确注入范围：按命名空间注入还是按 Pod 注入。
• 应用端口命名规范，例如 http-8080、grpc-9000，否则协议识别可能出错。

步骤

1. 安装 CLI 并检查环境：

istioctl version
istioctl x precheck

2. 选择配置档安装。生产环境建议先落盘再审查：

istioctl install --set profile=default -y
kubectl -n istio-system get pods

资源紧张或希望降低 sidecar 开销时，可评估 ambient 模式；它使用 ztunnel 和 waypoint，不再为每个 Pod 注入 sidecar。

3. 开启命名空间注入：

kubectl label namespace demo istio-injection=enabled
kubectl rollout restart deploy -n demo
kubectl get pods -n demo

Pod 应显示 2/2（应用容器 + istio-proxy）。

4. 部署示例应用和网关：

kubectl apply -f samples/bookinfo/platform/kube/bookinfo.yaml
kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml
kubectl -n istio-system get svc istio-ingressgateway

5. 配置目标规则和虚拟服务，先做 90/10 灰度：

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts: [reviews]
  http:
  - route:
    - destination: {host: reviews, subset: v1}
      weight: 90
    - destination: {host: reviews, subset: v2}
      weight: 10
EOF

6. 启用严格 mTLS：

kubectl apply -f - <<'EOF'
apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: default
  namespace: istio-system
spec:
  mtls:
    mode: STRICT
EOF

7. 接入可观测性：

istioctl dashboard kiali
istioctl dashboard prometheus
istioctl dashboard grafana

验证

• istioctl analyze -A 无错误。
• istioctl proxy-status 中所有代理均为 SYNCED。
• kubectl exec 进入 Pod 后访问对端服务成功，且 istioctl authn tls-check 显示 mTLS 生效。
• Kiali 能看到服务拓扑、请求成功率和延迟。
• 灰度比例调整后，流量分布符合预期。

回滚

• 删除 VirtualService/DestinationRule 即可恢复默认路由。
• 将 PeerAuthentication 从 STRICT 改回 PERMISSIVE，避免旧服务突然中断。
• 关闭注入：移除命名空间标签并重启工作负载；确认没有依赖 sidecar 的策略后再操作。
• 卸载 Istio 前先删除网关、虚拟服务和注入标签，避免残留资源。

常见坑

• 端口没有命名或命名错误，Istio 会把流量当 TCP 处理，HTTP 指标和路由失效。
• STRICT mTLS 上线过早，未注入 sidecar 的客户端会直接失败。
• sidecar 注入后 Pod 启动变慢，需调整 holdApplicationUntilProxyStarts 和探针。
• 出口流量默认走 REGISTRY_ONLY 或 ALLOW_ANY 的行为不同，跨命名空间访问要先确认。
• 网关和 VirtualService 的 host 不匹配，表现为 404 而不是连接失败。
• 升级控制面要按版本支持矩阵进行，不要跨多个大版本直接升级。

相关命令

• istioctl — 安装、诊断、代理状态与 dashboard
• kubectl — 注入标签、网关和策略管理
• kiali — 服务拓扑与流量观测
• prometheus — 指标查询