端口转发如何避免mtls

Question

我已经设置了全局启用mtls的istio。我已经验证了这一点，方法是在没有特使sidecar的情况下撞上一个锅，并在http上运行curl命令，但失败了。然后使用Istio证书在HTTPS上运行curl，这是有效的。

当我端口转发到一个服务，eq kubectl port-forward svc/my-svc 8080:80我可以通过转到http://localhost:8080来访问我的应用程序，我希望这不会起作用，因为mtls是强制执行的。kubernetes的这种端口转发是如何工作的？它是否直接到达节点，从而绕过sidecar？

Answer 1

我发现Kubernetes 与标准的Kubernetes网络服务并行工作，在port-forwarding的情况下不会影响流量。

Istio网络服务将创建与kubectl port-forward或任何其他标准命令完全相同的iptables规则。

不幸的是，我没有找到任何官方文档来解释它是如何工作的。