无法使用 ISTIO 网关和虚拟服务连接到 HTTPS 服务

由于我和我的所有团队成员都是 Istio 的新手，如果我们能在这里获得一些帮助，我们将不胜感激。

Problem我已按照以下文档使用应用程序证书和密钥在 k8s 中创建证书并创建机密 https://istio.io/docs/tasks/traffic-management/secure-ingress/#troubleshooting

之后，我重新启动了 istio-ingressgateway pod，以便它加载证书。无论如何，当我执行时我可以看到 Pod 内部。

我在 istio-ingressgateway 服务中添加了以下注释以使用域名： *external-dns.alpha.kubernetes.io/主机名：.byom-i344382.xxx.xxx.xxx.xxx.com

我的 virtualService 和 Gateway 资源如下所示，位于“默认”命名空间中：

    apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: ms-is-gateway
spec:
  selector:
    istio: ingressgateway # use istio default controller
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key
    hosts:
    - "ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com"
---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: ms-is
spec:
  hosts:
  - "ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com"
  gateways:
  - ms-is-gateway
  http:
  - match:
    - uri:
        exact: /api/v2/predict
    route:
    - destination:
        host: mlf-is
        port:
          number: 53547

请注意，mlf-is 服务也在默认命名空间中。只有 istio-ingressgateway 位于 istio-system 命名空间中

预期行为当我击中时https://ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com/api/v2/predict https://ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com/api/v2/predict从邮递员我应该能够到达 ms-is 服务。但是，我无法访问该服务。

即使下面的curl命令也失败了： 卷曲-v --cacert /home/vagrant/exmaple/mtls-go-example/2_intermediate/certs/ca-chain.cert.pemhttps://ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com:443/api/v2/predict https://ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com:443/api/v2/predict

卷曲错误： Trying 18.195.217.210... * TCP_NODELAY set * Connected to ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com (18.195.217.210) port 443 (#0) * ALPN, offering http/1.1 * Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH * successfully set certificate verify locations: * CAfile: /home/vagrant/exmaple/mtls-go-example/2_intermediate/certs/ca-chain.cert.pem CApath: none * TLSv1.2 (OUT), TLS header, Certificate Status (22): * TLSv1.2 (OUT), TLS handshake, Client hello (1): * OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com:443 * Closing connection 0 curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to ms-1234.byom-i344382.xxx.xxx.xxx.xxx.com:443

VersionIstio 版本：1.0.1 和 Kubernetes：1.0.9

Istio Auth 是否启用？安装 istio.yaml

环境云供应商是AWS