В GKE с Istio, Kubernetes NetworkPolicy и включенным mTLS HTTP-запросы от одного пода к другому завершаются с ошибкой только для определенных URL-адресов приложения, в то время как другие URL-адреса работают успешно. Что является причиной сбоев?

Istio AuthorizationPolicy блокирует HTTP-запросы к определенным путям приложения. Это наиболее вероятная причина, поскольку проблема возникает только для определенных URL-адресов при работающих других. AuthorizationPolicy в Istio позволяет настраивать детальные правила авторизации на уровне HTTP-путей, методов и заголовков. Kubernetes NetworkPolicy блокирует HTTP-трафик между подами. Если бы это было так, то весь HTTP-трафик между подами был бы заблокирован, а не только к определенным URL-адресам. Под, инициирующий запросы, подключается к целевому поду, используя неверный TCP-порт. Если бы порт был неверным, то запросы не работали бы вообще, а не только для определенных URL-адресов. Кластер находится в режиме mTLS permissive, но сайдкар пода отправляет незашифрованный трафик. В режиме permissive mTLS соединения могут быть как зашифрованными, так и незашифрованными. Если бы проблема была в mTLS, она, скорее всего, затрагивала бы все соединения, а не только определенные URL-адреса.