Istio：如何在Minikube上的服务之间设置HTTPS流量？

Question

我目前正在学习Istio，并试图在本地Minikube测试群集上的容器之间设置HTTPS通信时遇到问题。

Istio文档中有一些相关任务。特别是https-overlay任务。我设法执行了第一个子任务（在查询容器上没有sidecar），但是当从sleep pod向nginx部署发出请求时，second one失败并显示以下错误：

$ kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep -- curl https://my-nginx -k
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                Dload  Upload   Total   Spent    Left  Speed
  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0
curl: (35) error:1401E410:SSL routines:CONNECT_CR_FINISHED:sslv3 alert handshake failure
command terminated with exit code 35

我认为我的设置有问题，但是我真的无法分辨出什么错误（或如何调试）。有人可以看看并提出修复建议吗？

设置步骤在下面的设置下给出。环境规格如下所示。

---

环境

操作系统

macOS 10.13.6

kubectl版本

$ kubectl version
Client Version: version.Info{Major:"1", Minor:"12", GitVersion:"v1.12.3", GitCommit:"435f92c719f279a3a67808c80521ea17d5715c66", GitTreeState:"clean", BuildDate:"2018-11-27T01:15:02Z", GoVersion:"go1.11.2", Compiler:"gc", Platform:"darwin/amd64"}
Server Version: version.Info{Major:"1", Minor:"10", GitVersion:"v1.10.0", GitCommit:"fc32d2f3698e36b93322a3465f63a14e9f0eaead", GitTreeState:"clean", BuildDate:"2018-03-26T16:44:10Z", GoVersion:"go1.9.3", Compiler:"gc", Platform:"linux/amd64"}

minikube版本：

 $ minikube version
 minikube version: v0.31.0

---

设置

$ISTIO_HOME应该指向Istio安装位置。

1。运行Minikube + Istio启动脚本

警告：：这将停止并删除正在运行的minikube实例。

#! /bin/bash
minikube stop;
minikube delete;
minikube start \
  --memory=8192 \
  --cpus=4 \
  --kubernetes-version=v1.10.0\
  --vm-driver=virtualbox; 
kubectl apply -f $ISTIO_HOME/install/kubernetes/helm/istio/templates/crds.yaml 
kubectl apply -f $ISTIO_HOME/install/kubernetes/istio-demo.yaml
# Set docker registry to minikube registry
eval $(minikube docker-env);

2。运行HTTPS测试设置脚本

等待直到Istio Pod运行或完成，然后

#! /bin/bash
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /tmp/nginx.key -out /tmp/nginx.crt -subj "/CN=my-nginx/O=my-nginx"
kubectl create secret tls nginxsecret --key /tmp/nginx.key --cert /tmp/nginx.crt
kubectl create configmap nginxconfigmap --from-file=$ISTIO_HOME/samples/https/default.conf
kubectl apply -f <(istioctl kube-inject -f $ISTIO_HOME/samples/https/nginx-app.yaml)
kubectl apply -f <(istioctl kube-inject -f $ISTIO_HOME/samples/sleep/sleep.yaml)

3。从睡眠Pod向Nginx发出请求

等待两个Pod开始运行，然后运行

kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep -- curl https://my-nginx -k

根据the subtask的描述，我们应该看到nginx登陆页面，但返回上面显示的错误（退出代码35，握手失败）。

Answer 1

看来您遇到了这个仍在打开的错误https://github.com/istio/istio/issues/7844