amazon-web-services - Istio - 在 AWS NLB 终止 TLS

Question

我正在使用通过 Helm 安装的 EKS 和最新的 Istio。我正在尝试根据我们在 AWS 证书管理器中为我们的域拥有的通配符证书来实现 TLS。我遇到了一个问题，客户端和 NLB 之间的连接正常工作，TLS 在那里终止，但 NLB 无法通过安全端口与 istio LB 通信。在 AWS 控制台中，我可以重写转发规则以将流量从端口 443 转发到标准的 istio http 目标，但我找不到通过代码执行此操作的方法。我试图避免所有点击操作。这是我对网关的 Helm 覆盖:

gateways:
  istio-ingressgateway:
    serviceAnnotations:
        service.beta.kubernetes.io/aws-load-balancer-type: "nlb"
        service.beta.kubernetes.io/aws-load-balancer-ssl-cert: "arn:aws:acm:XXXXXXXXXXXXXXXXXX:certificate/XXXXXXXXXXXXXXXXXXXX"
        service.beta.kubernetes.io/aws-load-balancer-backend-protocol: "http"
        service.beta.kubernetes.io/aws-load-balancer-ssl-ports: "443"

所以我期望在这里发生的是:

Client:443 --> NLB:443 --> Istio Gateway:80
but what I end up with is
Client:443 --> NLB:443 --> Istio Gateway:443

有人对如何通过代码使其工作有任何想法吗？或者，如果有人可以将我指向一个资源以在 NLB 和 Istio 之间进行 tls 通信，我也很擅长。

Answer 1

可能发生的情况是，如果您在负载均衡器上终止 TLS，它不会将 SNI 传送到目标组。我遇到了完全相同的问题，我最终通过将主机设置为 '*' 来解决它在入口Gateway然后在不同的 VirtualService 上指定主机s (推荐 here 和 istio's official docs )。