Istio: authn tls-check и внешние сервисы

Question

В моей сетке istio я настроил mTLS, и у меня есть некоторые внешние-к-сетевые и внешние-к-кластерные службы, которые я потребляю: я могу просто отлично подключиться к ним, создавая trafficPolicy с отключенным TLS, но независимо от того, что я делаю, я не могу заставить authn tls-check быть счастливым, поскольку он всегда отображает CONFLICT с сервером в mTLS и клиентом в HTTP.

Из того, что я понимаю, «сервер» в этом случаевнешний по отношению к сетке, и я не могу создать политику, которая применима к нему, чтобы сказать, что этот сервер не использует mTLS (очевидно, так как он находится за пределами сетки): кто-нибудь мог настроить все так, чтобы выУ вас есть внешняя служба для вашей сетки mTLS и дисплеи проверки подлинности tls в порядке, mTLS отключен для и сервера и клиента?

Answer 1

Вы должны создать ServiceEntry для своей внешней службы с протоколом http, и тогда вы сможете ее вызвать. Вам не нужно устанавливать trafficPolicy.

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: external-svc-myservice
spec:
  hosts:
  - myservice.com
  location: MESH_EXTERNAL
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS