多集群/多主网格中的共享 istio 出口网关

Question

我们正在尝试在多集群/多主网格中设置出口网关 出口网关仅位于一个集群中但从两个集群中使用的配置。

diagram of desired setup

用例是集群位于不同的网络区域，我们希望能够 将流量透明地路由到另一个区域中的客户端。

我们在一个集群中关注this guide，它运行良好。但是，我们无法在第二个集群中设置 VirtualService 在第一个集群中使用出口网关。

在将以下虚拟服务部署到第二个集群时，我们得到 503 和 cluster_not_found。

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: direct-cnn-through-egress-gateway
spec:
  hosts:
  - edition.cnn.com
  gateways:
  - istio-egressgateway
  - mesh
  http:
  - match:
    - gateways:
      - mesh
      port: 80
    route:
    - destination:
        host: istio-egressgateway.istio-system.svc.cluster.local
        port:
          number: 80
      weight: 100
  - match:
    - gateways:
      - istio-egressgateway
      port: 80
    route:
    - destination:
        host: edition.cnn.com
        port:
          number: 80
      weight: 100

第二个集群中一个 pod 上的端点代理配置错过了istio-egressgateway.istio-gateways.svc.cluster.local 端点（发现所有其他服务并将其定向到其他集群的东西向网关）。 我们认为这就是这个VirtualService 在第二个集群中不起作用的原因。

作为一种解决方法，我们可以将出口流量重定向到第一个集群的入口网关，但这 缺点是流量离开并重新进入网格，可能对跟踪和监控产生影响。

目前是否可以设置一个可供网格中所有集群使用的单一出口网关，还是我们必须采用解决方法？

Answer 1

根据 cmets，解决方案应如下所示：

要创建多集群部署，您可以使用this tutorial。在这种情况下，正常服务的跨集群工作负载可以正常工作。但是，通过东西网关路由到出口网关的流量存在问题。这可以通过this example 解决。 您还应该在两个集群中将kind: VirtualService 更改为kind: ServiceEntry。

就像提到的Tobias Henkel：

如果我将入口网关定位在端口 80/443 上，然后它会进一步分派到网状外部服务，我可以让它与服务条目一起正常工作。

---

您还可以使用Admiral 自动进行流量路由。

另见：

• multi cluster mesh automation using Admiral
• multi cluster service mesh od GKE
• tutorial on GKE to create similar situation