Alauda Service Mesh
  • 简体中文

    • Envoy Proxy 启动故障排查

    Envoy proxy，也称为在工作负载 Pod 中作为 sidecar 使用时的 istio-proxy，拦截服务网格中 Pod 内的所有入站和出站流量。

    当 Pod 启动失败或流量未按预期工作时，使用以下工具和方法进行故障排查：

    目录

    PostStarHookError

    如果遇到 PostStarHookError 错误，且 Pod 的错误信息类似于：

    Error: timeout waiting for Envoy proxy to become ready.

    这意味着代理无法在指定时间（30s）内变为就绪。此错误的常见原因如下：

    Sidecar CPU 或内存限制不足

    当：

    • 主机负载较高
    • CPU 频率不足
    • 服务网格中服务过多
    • 等等

    时，sidecar 无法在合理时间（30s）内处理来自 istiod 的 xDS 配置。

    操作建议： 增加 sidecar 的 CPU 和内存限制。

    防火墙

    服务网格要求 sidecar 流量能够访问 istio-system 命名空间中的服务。

    如果在 istio-proxy 日志中发现“cannot connect to istiod”之类的信息，请检查平台上的防火墙配置，并联系平台管理员允许工作负载流量访问 istio-system 命名空间：

    具体配置取决于平台使用的 CNI：

    • （通用）NetworkPolicy
    • （Calico）NetworkPolicy，projectcalico.org/v3 中的 GlobalNetworkPolicy
    • （Cilium/KubeOVN）CiliumNetworkPolicy

    但在极少数情况下（例如 HuaweiCloud CCE 和 Ubuntu 22.04），由于 CCE VPC CNI 的一个 Bug，无法使用 istio-init initContainer 拦截网络流量。此时，请使用 Istio CNI 来配置流量拦截。

    有问题的 WASM / EnvoyFilter 插件

    WASM 和 EnvoyFilter 是 Istio 中强大但可能带来破坏性的功能。

    配置错误的 WASM 或 EnvoyFilter 插件可能导致服务网格行为不可预测。 因此，当 Istio sidecar 启动时出现卡顿，首先检查是否有可疑的 EnvoyFilter。

    或者，如果为特定工作负载或全局安装了 WASM 插件，卸载它以验证 Istio proxy 是否能正常工作。