Следуя учебнику по авторизации TCP-трафика в Istio, я получаю “соединение отклонено” вместо “соединение успешно”.

Question 1

Я следую учебному пособию по авторизации безопасности Istio TCP Traffic tutorial.

На шаге 5 проверка успешной коммуникации sleep с tcp-echo на порту 9002 я получаю результат connection rejected, а не connection succeeded, который указывает учебник.

user@docker-host-01:~/istio-1.20.1$ kubectl exec "$(kubectl get pod -l app=sleep -n foo -o jsonpath={.items..metadata.name})" \
>     -c sleep -n foo -- sh -c \
>     'echo "port 9000" | nc tcp-echo 9000' | grep "hello" && echo 'connection succeeded' || echo 'connection rejected'
hello port 9000
connection succeeded

user@docker-host-01:~/istio-1.20.1$ kubectl exec "$(kubectl get pod -l app=sleep -n foo -o jsonpath={.items..metadata.name})" \
>     -c sleep -n foo -- sh -c \
>     'echo "port 9001" | nc tcp-echo 9001' | grep "hello" && echo 'connection succeeded' || echo 'connection rejected'
hello port 9001
connection succeeded

user@docker-host-01:~/istio-1.20.1$ TCP_ECHO_IP=$(kubectl get pod "$(kubectl get pod -l app=tcp-echo -n foo -o jsonpath={.items..metadata.name})" -n foo -o jsonpath="{.status.podIP}")
user@docker-host-01:~/istio-1.20.1$ kubectl exec "$(kubectl get pod -l app=sleep -n foo -o jsonpath={.items..metadata.name})" \
>     -c sleep -n foo -- sh -c \
>     "echo \"port 9002\" | nc $TCP_ECHO_IP 9002" | grep "hello" && echo 'connection succeeded' || echo 'connection rejected'
connection rejected

user@docker-host-01:~/istio-1.20.1$ echo $TCP_ECHO_IP
10.244.0.27

user@docker-host-01:~/istio-1.20.1$ kubectl exec "$(kubectl get pod -l app=sleep -n foo -o jsonpath={.items..metadata.name})"     -c sleep -n foo -- sh -c     "echo \"port 9002\" | nc $TCP_ECHO_IP 9002"

user@docker-host-01:~/istio-1.20.1$

Логи, приведенные ниже, показывают, что сообщение отправляется из пода sleep, но не получает подом tcp-echo. Если я правильно понимаю, запись лога о том, что соединение с 10.244.0.27:9002 было маршрутизировано к PassthroughCluster, указывает, что маршрутизация по IP неправильная, тогда как по имени пода она работает правильно в предыдущих записях.

user@docker-host-01:~/istio-1.20.1$ kubectl logs -l app=sleep -c istio-proxy -n foo
[2024-01-01T14:59:50.262Z] "- - -" 0 - - - "-" 10 16 9 - "-" "-" "-" "-" "10.244.0.27:9000" outbound|9000||tcp-echo.foo.svc.cluster.local 10.244.0.26:52798 10.111.194.106:9000 10.244.0.26:36087 - -
[2024-01-01T14:59:54.343Z] "- - -" 0 - - - "-" 10 16 9 - "-" "-" "-" "-" "10.244.0.27:9001" outbound|9001||tcp-echo.foo.svc.cluster.local 10.244.0.26:43342 10.111.194.106:9001 10.244.0.26:42365 - -
[2024-01-01T15:00:02.734Z] "- - -" 0 - - - "-" 10 0 0 - "-" "-" "-" "-" "10.244.0.27:9002" PassthroughCluster 10.244.0.26:33738 10.244.0.27:9002 10.244.0.26:33999 - -
2024-01-01T15:02:03.306941Z     info    xdsproxy        connected to upstream XDS server: istiod.istio-system.svc:15012
[2024-01-01T15:03:52.319Z] "- - -" 0 - - - "-" 10 0 0 - "-" "-" "-" "-" "10.244.0.27:9002" PassthroughCluster 10.244.0.26:34762 10.244.0.27:9002 10.244.0.26:44177 - -

user@docker-host-01:~/istio-1.20.1$ kubectl logs -l app=tcp-echo -c istio-proxy -n foo
[2024-01-01T14:59:50.263Z] "- - -" 0 - - - "-" 554 590 8 - "-" "-" "-" "-" "10.244.0.27:9000" inbound|9000|| 127.0.0.6:58755 10.244.0.27:9000 10.244.0.26:52798 outbound_.9000_._.tcp-echo.foo.svc.cluster.local -
[2024-01-01T14:59:54.344Z] "- - -" 0 - - - "-" 554 590 8 - "-" "-" "-" "-" "10.244.0.27:9001" inbound|9001|| 127.0.0.6:43015 10.244.0.27:9001 10.244.0.26:43342 outbound_.9001_._.tcp-echo.foo.svc.cluster.local -

Я буду признателен за помощь в понимании, почему моя среда вызывает расхождение команд учебника с ожидаемым выводом и как это исправить. Спасибо!

Детали окружения:

minikube v1.32.0 на Ubuntu 20.04
Kubernetes v1.28.3 на Docker 24.0.7
bridge CNI
istio v1.20.1

Question 2

Во-первых, проверьте, есть ли AuthorizationPolicy, который может блокировать трафик:

bash
kubectl get authorizationpolicies -n foo

Если есть тот, который может блокировать порт 9002:

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: tcp-policy
  namespace: foo
spec:
  selector:
    matchLabels:
      app: tcp-echo
  action: ALLOW  # или DENY
  rules:
  - to:
    - operation:
        ports: ["9000", "9001"]  # Убедитесь, что 9002 включен, если он должен быть разрешен

Обновите или создайте AuthorizationPolicy, чтобы разрешить трафик на порту 9002:

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: tcp-policy
  namespace: foo
spec:
  selector:
    matchLabels:
      app: tcp-echo
  action: ALLOW
  rules:
  - to:
    - operation:
        ports: ["9000", "9001", "9002"]

Проверьте конфигурацию службы Kubernetes:
проверьте, определен ли порт 9002 в вашем tcp-echo сервисе:

bash
kubectl get service tcp-echo -n foo -o yaml

Если нет, обновите или создайте службу, чтобы включить порт 9002:

apiVersion: v1
kind: Service
metadata:
  name: tcp-echo
  namespace: foo
spec:
  selector:
    app: tcp-echo
  ports:
  - name: port-9000
    port: 9000
    targetPort: 9000
  - name: port-9001
    port: 9001
    targetPort: 9001
  - name: port-9002
    port: 9002
    targetPort: 9002

Следуя учебнику по авторизации TCP-трафика в Istio, я получаю “соединение отклонено” вместо “соединение успешно”.

Вопрос или проблема

Ответ или решение

Понимание проблемы

Анализ конфигурации и поиск решений

1. Проверка AuthorizationPolicy

2. Проверка конфигурации Kubernetes Service

Проверка работы сети

Итог