No GKE com Istio, um Kubernetes NetworkPolicy e mTLS ativado, as requisições HTTP de um Pod para outro falham apenas para URLs de aplicações específicas, enquanto outras URLs são bem-sucedidas. O que causa as falhas?

A falha seletiva para URLs específicas, enquanto outras funcionam, indica que o problema está na camada de aplicação, não na rede básica. Um Istio AuthorizationPolicy pode ser configurado para permitir ou negar acesso a caminhos HTTP específicos. Se um AuthorizationPolicy estiver configurado para negar acesso a certas URLs, as requisições para esses caminhos falharão. Um Kubernetes NetworkPolicy bloquearia o tráfego em um nível mais fundamental (IP/porta), afetando todas as requisições entre os Pods, não apenas URLs específicas. Conectar-se à porta TCP errada causaria falha em todas as requisições para aquele serviço, não apenas para URLs específicas. O modo permissivo mTLS permite tanto tráfego mTLS quanto texto simples, então o tráfego não falharia devido a isso, a menos que houvesse uma política mais restritiva.