是否可以用 Istio 代理替换 Cloud SQL 代理？

Question

目前我正在使用云代理连接到 Postgres Cloud SQL 数据库作为 sidecar。然而，在使用 Istio 时，它引入了自己的 sidecar，导致 Pod 中有两个代理。所以我想，加密连接不也可以使用 Istio 建立吗？

基本上，it is possible to connect to an external IP using Istio。

It should also be possible to configure a DestinationRule which configures TLS.

And it also be possible to create Client certificates for Cloud SQL.

编辑：可能是同样的问题：NGINX TLS termination for PostgreSQL

所以我最终得到了类似的东西

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: external-db
spec:
  hosts:
    - external-db
  ports:
    - number: 5432
      name: postgres
      protocol: TLS
  location: MESH_EXTERNAL
  resolution: STATIC
---
apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: external-db
spec:
  host: external-db
  trafficPolicy:
    tls:
      mode: MUTUAL
      clientCertificate: /etc/certs/client-cert.pem
      privateKey: /etc/certs/client-key.pem
      caCertificates: /etc/certs/server-ca.pem

---
apiVersion: v1
kind: Service
metadata:
  name: external-db
spec:
  clusterIP: None
  ports:
    - protocol: TCP
      port: 5432
---
apiVersion: v1
kind: Endpoints
metadata:
  name: external-db
subsets:
  - addresses:
      - ip: 10.171.48.3
    ports:
      - port: 5432

在豆荚里

sidecar.istio.io/userVolumeMount: '[{"name":"cert", "mountPath":"/etc/certs", "readonly":true}]'
sidecar.istio.io/userVolume: '[{"name":"cert", "secret":{"secretName":"cert"}}]'

但是，服务器拒绝连接。所以问题是，这个设置可能工作吗？它甚至有任何意义吗？

Answer 1

好像 Postgres 使用的是应用层协议协商，所以这种情况下不能使用 Istio/Envoy：

https://github.com/envoyproxy/envoy/issues/10942 https://github.com/envoyproxy/envoy/issues/9577#issuecomment-606943362