En GKE con Istio, una Kubernetes NetworkPolicy y mTLS habilitado, las solicitudes HTTP de un Pod a otro fallan solo para URL de aplicaciones específicas, mientras que otras URL tienen éxito. ¿Qué causa los fallos?

Cuando mTLS está habilitado en Istio, las Kubernetes NetworkPolicies operan en la capa de red (capa 3/4) y no inspeccionan las rutas HTTP específicas. Si algunas URL funcionan y otras no, esto indica un problema en la capa de aplicación (capa 7). Una Istio AuthorizationPolicy es la herramienta de Istio diseñada para controlar el acceso a nivel de aplicación, permitiendo o denegando solicitudes basadas en atributos como la ruta HTTP. Por lo tanto, una AuthorizationPolicy mal configurada es la causa más probable de que fallen solo ciertas URL. El uso de un puerto TCP incorrecto causaría fallos en todas las solicitudes, no solo en rutas específicas. El modo permisivo mTLS permite tanto tráfico mTLS como texto plano, por lo que no bloquearía selectivamente rutas.