选择性Istio mTLS有可能吗？

Question

我在Kubernetes 1.15.9上运行了Istio1.4.0。我正在努力实现以下目标，但是我读的Istio文档越多，我就越困惑。让我简单地说一句。

第一件事是，我想拥有最大服务的mTLS (如果可能的话)。

我有一个elasticsearch主舱，它的服务暴露在9300上。我有一个elasticsearch数据舱，它的服务暴露在9200和9300上。当我启用了Istio的默认自动mTLS时，这两个吊舱都工作得很好，并启动了一个螺旋ES集群。我认为这是因为ES主节点和数据节点通过端口9300进行通信。另外，我不想从K8S集群之外访问任何这些ES。

现在，我想开始一个基巴纳舱的服务暴露在5601。当我使用Istio的默认自动mTLS启动Kibana时，它无法启动。因为它不能连接到9200上的elasticsearch-数据服务。我得到了各种各样的SSL错误(可能是因为整个mTLS？)。我不知道这个Istio的自动mTLS是否可能启用这个连接。另外，我想从K8S集群之外访问这个Kibana。

感谢你的帮助。谢谢。

• Ajit

Answer 1

Kibana只使用http网址。但是为了使elasticsearch主机和节点之间进行通信，我必须将端口9300放在Istio的排除列表中。