Istio项目升级后HTTPRoutes失效问题分析与解决方案

问题背景

在使用Istio ambient模式进行版本升级时，从1.24.2升级到1.24.3及更高版本后，用户发现HTTPRoutes配置不再生效，所有请求都返回404错误。这个问题主要出现在使用Kubernetes Gateway API的场景中，而传统的Istio VirtualService仍然可以正常工作。

问题现象

升级后，通过istioctl proxy-config routes命令检查时，只能看到默认的404路由配置，而自定义的HTTPRoutes路由规则没有被正确加载。同时，HTTPRoute资源的状态(parents数组)显示为空，表明这些路由规则没有被任何Gateway控制器处理。

根本原因分析

这个问题源于Istio 1.24.3版本中引入的一个重要修复(#54299)。在之前的版本中，存在一个长期存在的bug：所有Istio修订版本(revision)都会尝试处理未标记特定修订版本的Gateway资源。这导致在多版本共存的环境中，多个修订版本会"争夺"对同一个Gateway的控制权。

修复后，Istio的行为变得更加严格：

1. 只有默认修订版本(default revision)或默认标签(default tag)才会处理未标记修订版本的Gateway资源
2. 必须显式地为Gateway资源指定istio.io/rev标签，或者确保集群中存在默认修订版本

解决方案

针对这个问题，有以下几种解决方案：

方案一：设置默认修订版本

可以通过以下命令设置默认修订版本：

istioctl tag set default --revision istio-1-25-1

或者在使用Helm安装/升级时指定：

helm upgrade istiod-istio-1-25-1 istio/istiod --set "revisionTags={default}"

方案二：显式标记Gateway资源

为Kubernetes Gateway API资源添加明确的修订版本标签：

metadata:
  labels:
    istio.io/rev: istio-1-25-1

注意：必须使用实际的修订版本名称(如istio-1-25-1)，而不能使用标签名称(如active)

方案三：保持单版本环境

如果环境中只运行一个Istio版本，可以确保只安装该版本的控制平面组件，避免多版本共存带来的复杂性。

最佳实践建议

1. 在进行Istio升级时，始终设置默认修订版本
2. 在多版本环境中，为所有Gateway资源明确指定修订版本标签
3. 优先使用修订版本名称而非标签名称来标记Gateway资源
4. 在升级前，仔细阅读版本变更说明，特别是涉及行为变更的修复

总结

这个问题展示了Istio在多版本管理和Gateway控制方面的行为变化。通过理解Istio修订版本和标签的工作机制，用户可以更好地规划升级策略和管理多版本环境。建议用户在升级到1.24.3或更高版本时，采取上述解决方案之一来确保HTTPRoutes的正常工作。