通過wireshark驗證Istio中啟用的MTLS

Question

我在 Kubernetes 集群上運行服務，出於安全目的，我開始了解名為 istio 的服務網格。 目前，我已經在 istio-system 命名空間中啟用了 Mtls，我可以看到 Sidecars 正在 bookinfo 服務的 pod 內運行。 但是在通過 Wireshark 在 pod 之間捕獲流量時，我可以看到我在 Wireshark 中的上下文路由仍在 HTTP 中。 我認為它應該在 TLS 中並加密。

注意：我使用 istio-1.6.3 和定義的網關和入口（Kubernetes 入口）到服務。

這是屏幕截圖： Wireshark 圖像

Answer 1

正如我在評論中提到的，AFAIK 它按設計工作，如果您想查看 tls，您可以嘗試本教程中提到的內容。

看到與 QOTM 服務的未加密通信僅通過環回適配器進行，這只是 TLS 驗證過程的一部分。 理想情況下，您希望看到在集群周圍流動的加密流量。 您可以通過刪除“http”過濾器來實現此目的，而是添加一個顯示過濾器以僅顯示 TCP 流量，其目標 IP 地址為您的 QOTM Pod，目標端口為 20000，您可以看到 Envoy sidecar 正在偵聽通過之前發布的 kubectl describe 命令。

---

嗨@jt97 我可以在 kiali 儀表板中看到鎖定徽章，我在某處讀到這是那里正在發生加密的表示。

確切地說，有關於此的github 問題。

希望您覺得這個有幫助。