[Troubleshooting] Istio CR 사용 시 k8s ingress 와의 호환성

[ByeongHunKim]

Issue Description / 이슈 설명 발생한 문제에 대해 간단히 설명해주세요

k8s ingress 리소스가 있는 상태에서 istio CR ( gateway, virtualService, destinationRule ) 이 적용되지 않는 문제

Steps to Reproduce / 재현 단계 문제를 재현하기 위한 단계를 설명해주세요:

1. Istio CR 생성
2. k8s ingress 생성
3. curl -I <도메인> 으로 요청 보냈을 때 vs에서 설정한 응답 헤더가 설정되지 않는 것 확인할 수 있음

Expected Behavior / 예상 동작 정상적으로 작동했을 때 예상되는 동작을 설명해주세요

1번에서 istio CR들을 이미 설정했기 때문에 응답 헤더가 와야 했음

Actual Behavior / 실제 동작 실제로 발생한 동작이나 오류를 설명해주세요

vs에서 설정한 응답 헤더가 포함되지 않았음

Logs / 로그 관련된 로그나 오류 메시지를 첨부해주세요

• 아래 curl 명령어 결과값을 보면 응답 헤더가 없음 ( HSTS (HTTP Strict Transport Security) 헤더, X-Frame-Options 헤더)

  HTTP/2 200 
  date: Wed, 23 Oct 2024 07:54:13 GMT
  content-type: text/html; charset=utf-8
  content-length: 28748
  vary: RSC, Next-Router-State-Tree, Next-Router-Prefetch, Next-Url, Accept-Encoding
  x-nextjs-cache: HIT
  x-powered-by: Next.js
  cache-control: s-maxage=31536000, stale-while-revalidate
  etag: "n91hiyfgn3m6e"
  x-envoy-upstream-service-time: 3
  server: istio-envoy

Configuration / 설정 문제와 관련된 Istio 설정이나 YAML 파일을 첨부해주세요

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: review-prod-virtual-service
  namespace: "${KUBE_NAMESPACE}"
spec:
  gateways:
  - review-prod-gateway
  hosts:
  - "${PRODUCTION_ADDITIONAL_HOSTS}"
  http:
  - headers:
      response:
        add:
          Strict-Transport-Security: "max-age=31536000"
          X-Frame-Options: "DENY"
    route:
    - destination:
        host: production-auto-deploy
        subset: production

Attempted Solutions / 시도한 해결 방법 문제를 해결하기 위해 시도해본 방법이 있다면 설명해주세요

• ingress를 지우니까 해결되었음
  • ingress에는 production-auto-deploy로 트래픽을 보내는 라우팅 규칙이 있어서 vs의 규칙이 적용되지 않은 것으로 추정됨

Impact / 영향 이 문제가 서비스나 사용자에게 미치는 영향이 있다면 설명해주세요

Additional Context / 추가 정보 문제 해결에 도움이 될 만한 추가 정보나 스크린샷이 있다면 첨부해주세요

[ByeongHunKim]

알아봐야할 내용

1. Istio CR 사용 할 때 k8s ingress와 값이 겹치는 경우 어떻게 동작하는가?

[ByeongHunKim]

문제 재현 보고

• AuthorizationPolicy 사용 중 + k8s ingress는 있는 상태
• ingress를 지우면 istio gw에 명시된 도메인으로 접속되지 않음
• 근데 k8s ingress를 쓰고 있는데 AuthorizationPolicy의 기능은 사용됐었음
• istio CR
  • gateway 문제 없음
  • virtual service
    • routing 규칙이 subset이 아니라 svc를 직접 라우팅
  • destination rule 없음
  • envoyFilter 사용 중

---