2. DestinationRule 基础：CRD 结构解析、subset 与 labels、trafficPolicy 字段详解

DestinationRule 是 Istio 流量治理体系中负责“后端策略定义”的核心 CRD。它不参与“流量该去哪”的路由决策（那是 VirtualService 的职责），而是定义“流量到达目标服务后，该如何连接、负载均衡、熔断、超时、重试”。在配置漂移审计场景中，DestinationRule 的 subset 定义、labels 选择器、trafficPolicy 参数是审计人员重点关注的三个风险面。

2.1 DestinationRule CRD 顶层结构

一个完整的 DestinationRule 资源由以下四个主要部分组成：

2.2 subset 与 labels：版本隔离的基石

subset 是 DestinationRule 中用于定义服务子集的机制，通常对应不同的版本（v1、v2）、部署区域（us-east、eu-west）或灰度分组（canary、stable）。每个 subset 通过 labels 字段从 Kubernetes Pod 的 labels 中筛选出目标实例。

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews-dr
spec:
  host: reviews.svc.cluster.local
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2
  - name: canary
    labels:
      version: v2
      track: canary

subset 审计要点：

• labels 选择器精度： 必须使用足够精确的 labels 组合，避免一个 subset 意外匹配到多个版本的 Pod。例如上例中 canary subset 同时匹配 version: v2 和 track: canary，与 v2 subset 形成精确区分。
• subset 名称与 labels 一致性： 名称应反映实际版本或环境，避免“名实不符”导致的运维误判。
• 空 subset 风险： 如果 labels 组合没有匹配到任何 Pod，该 subset 将导致流量黑洞，审计时应检查 subset 对应的 Pod 是否存在。

2.3 trafficPolicy 字段详解

trafficPolicy 是 DestinationRule 中定义流量行为策略的核心字段，包含连接池、负载均衡、熔断、超时、重试、TLS 等多个子策略。审计人员需要逐层检查每个子策略的配置是否符合企业安全与稳定性基线。

2.3.1 顶层 trafficPolicy 结构

spec:
  trafficPolicy:
    connectionPool:      # 连接池策略
      tcp:
        maxConnections: 100
        connectTimeout: 3s
      http:
        http1MaxPendingRequests: 10
        maxRequestsPerConnection: 10
    loadBalancer:        # 负载均衡策略
      simple: ROUND_ROBIN
    outlierDetection:    # 熔断/异常检测
      consecutive5xxErrors: 5
      interval: 30s
      baseEjectionTime: 60s
      maxEjectionPercent: 50
    tls:                 # TLS 策略
      mode: ISTIO_MUTUAL

2.3.2 核心子策略审计对照表

2.4 配置漂移审计在 DestinationRule 中的切入点

基于上述结构解析，审计系统可以从以下四个维度对 DestinationRule 进行配置漂移检测：

1. subset 漂移： 检测 subset 名称、labels 组合、subset 数量是否与基线版本一致。新增、删除或修改 subset 均需触发审计告警。
2. trafficPolicy 参数漂移： 对比当前 trafficPolicy 中每个子字段的值与基线值，标记所有偏离基线的参数。
3. host 引用漂移： 检查 spec.host 是否指向正确的服务 FQDN，避免因服务重命名或迁移导致的引用错误。
4. 与 VirtualService 的引用一致性： 确保 VirtualService 中引用的 subset 名称在 DestinationRule 中确实存在，反之亦然。