1. 课程导论：控制平面与数据平面拓扑关系、Istio架构总览、故障排查思维模型
1.1 控制平面与数据平面的拓扑关系
在服务网格架构中，控制平面与数据平面的协同是流量治理与可观测性的基础。理解两者之间的拓扑关系，是进行故障排查的第一步。
- 数据平面（Data Plane）：由所有 Sidecar 代理（Envoy）组成，负责拦截、转发、负载均衡网格内的所有流量。每个 Pod 旁挂一个 Envoy 代理，形成 L7 智能路由网络。
- 控制平面（Control Plane）：负责下发配置、管理证书、聚合遥测数据。在 Istio 中，核心组件为
istiod，它整合了 Pilot、Citadel、Galley 的功能。
关键认知： 控制平面不参与数据路径转发，只负责“告诉”数据平面如何工作。数据平面即使与控制平面短暂失联，仍能依据最后下发的缓存配置继续转发流量（最终一致性模型）。
下表总结了控制平面与数据平面的核心差异：
| 维度 | 控制平面（istiod） | 数据平面（Envoy Proxy） |
|---|---|---|
| 核心职责 | 配置分发、证书签发、服务发现聚合 | 流量拦截、协议转发、负载均衡、健康检查 |
| 通信协议 | gRPC（XDS）、HTTPS（CA） | HTTP/1.1、HTTP/2、gRPC、TCP |
| 故障影响范围 | 新 Pod 无法注入 Sidecar、配置更新延迟 | 流量中断、路由错误、503 响应 |
| 高可用策略 | 多副本部署、Leader 选举 | Envoy 热重启、连接池管理 |
1.2 Istio 架构总览
Istio 的架构可以抽象为“一个控制平面 + 多个数据平面代理”。控制平面 istiod 内部包含三个核心模块：
- Pilot：负责服务发现与流量管理，通过 XDS 协议向 Envoy 推送 Listener、Cluster、Route、Endpoint 配置。
- Citadel：负责证书签发与身份认证，管理 mTLS 密钥轮换。
- Galley：负责配置验证与预处理，将 Kubernetes CRD（如 VirtualService、DestinationRule）转换为内部模型。
下图展示了 Istio 网格的组件拓扑与配置下发路径：
1.3 故障排查思维模型
面对 Istio 网格故障时，建议采用“分层定位 + 拓扑追踪”的思维模型。该模型将排查过程分为四个层次：
- 基础设施层：检查 Kubernetes 集群状态、节点健康、CNI 插件、DNS 解析是否正常。
- 控制平面层：验证
istiodPod 是否 Running、Leader 选举是否正常、XDS 推送是否有错误日志。 - 数据平面层：检查 Envoy 代理是否注入成功、配置是否同步、监听器与集群状态是否健康。
- 应用层：确认服务间调用是否遵循 VirtualService/DestinationRule 规则，mTLS 认证是否通过。
排查原则： 始终从“数据平面能否正常转发”开始验证，再向上追溯控制平面配置。80% 的 Istio 故障源于数据平面配置不一致或 Sidecar 注入失败。
下表总结了常见故障场景与对应的排查切入点：
| 故障现象 | 可能原因 | 排查切入点 |
|---|---|---|
| 服务间调用返回 503 | Envoy 集群端点为空、连接池耗尽 | istioctl proxy-status 检查同步状态 |
| 配置更新不生效 | XDS 推送延迟、Galley 校验失败 | istiod 日志中搜索 error 或 reject |
| mTLS 握手失败 | 证书过期、SAN 不匹配 | 检查 istio-ca-root-cert 与 sidecar-injector 配置 |
| Sidecar 未注入 | Namespace 缺少 istio-injection=enabled 标签 |
kubectl describe ns 查看标签 |
1.4 课程核心工具链
本课程将围绕以下工具链展开实战排查：
- istioctl：官方 CLI，用于检查代理状态、配置转储、注入验证。
- kubectl：Kubernetes 基础操作，查看 Pod 日志、事件、资源状态。
- Envoy Admin API：通过
localhost:15000查看 Envoy 内部配置、统计、集群状态。 - Kiali：可视化网格拓扑，快速定位流量中断点。
- Grafana + Prometheus：监控控制平面与数据平面的指标，如 XDS 推送延迟、Envoy 连接数。
重要提醒： 在生产环境中，不要直接对 Envoy Admin API 执行写操作（如
POST /drain_listeners），除非你明确知道后果。优先使用 istioctl proxy-config 进行只读排查。
下图展示了故障排查的决策流程：
通过本课程的学习，你将掌握从“现象”到“根因”的完整排查链路，能够独立处理 Istio 网格中 90% 以上的常见故障场景。