Op GKE met Istio, een Kubernetes NetworkPolicy en ingeschakelde mTLS, mislukken HTTP-verzoeken van de ene Pod naar de andere alleen voor specifieke applicatie-URL's, terwijl andere URL's wel slagen. Wat veroorzaakt de storingen?

Een Istio AuthorizationPolicy kan verkeer blokkeren op basis van HTTP-attributen, zoals paden (URL's), headers of methoden. Aangezien alleen specifieke applicatie-URL's mislukken terwijl andere slagen, duidt dit sterk op een beleid dat fijnmazige toegangscontrole toepast op het applicatieniveau. Een Kubernetes NetworkPolicy werkt op laag 3/4 (IP/poort) en zou al het HTTP-verkeer tussen de Pods blokkeren, niet slechts specifieke URL's. Een verkeerde TCP-poort zou alle verbindingen naar die poort doen mislukken, niet alleen bepaalde URL's. mTLS permissive mode staat zowel mTLS als plaintext verkeer toe; als de sidecar plaintext zou verzenden, zou dit niet selectief mislukken op basis van URL-paden, tenzij er een ander beleid was dat dit afdwong.