Kiali项目中Ambient模式下外部HTTPS服务显示为Unknown的问题分析

问题背景

在使用Kiali最新版本与Istio的Ambient模式集成时，开发人员发现当通过HTTPS协议访问外部服务（如httpbin.org）时，Kiali的拓扑图中该服务节点会显示为"Unknown"。而当使用HTTP协议访问同一服务时，则能正常显示服务名称。这一现象引起了开发团队的关注，因为这会影响到服务网格的可观测性。

技术分析

Ambient模式下的流量处理机制

在Istio的Ambient模式下，流量处理与传统Sidecar模式有所不同。Ambient模式通过节点级别的代理（ztunnel）来处理流量，而不是在每个Pod中注入Sidecar。当配置了Egress Waypoint时，出站流量会被重定向到Waypoint进行处理。

问题根源

经过深入分析，开发团队发现问题的根源在于：

1. TCP流量与HTTP流量的差异处理：当使用HTTPS协议时，流量被视为TCP流量而非HTTP流量。Kiali目前主要针对HTTP流量的报告机制进行了优化，而对TCP流量的支持不够完善。

2. 报告器(reporter)设置问题：在TCP流量场景下，当流量经过Waypoint时，报告器被标记为"waypoint"，而Kiali当前仅对HTTP流量实现了报告器切换逻辑（在source和destination之间切换）。这导致TCP流量的服务信息无法正确传递。

3. Prometheus指标差异：从Prometheus收集的指标可以看出，HTTPS流量虽然包含了正确的destination_service="httpbin.org"信息，但由于报告器设置问题，Kiali无法正确解析和显示这些信息。

解决方案

开发团队针对此问题提出了修复方案：

1. 统一流量报告机制：对TCP流量和HTTP流量采用一致的报告器处理逻辑，确保Waypoint处理的流量都能正确传递服务信息。

2. 增强TCP流量的服务识别：改进Kiali对TCP流量指标的处理能力，确保能从Prometheus指标中正确提取和显示外部服务信息。

验证与测试

开发团队通过以下步骤验证了修复效果：

1. 在Ambient模式下部署测试环境
2. 创建Egress Waypoint并配置对外部HTTPS服务的访问
3. 生成测试流量，验证Kiali拓扑图中外部服务的显示情况
4. 对比修复前后Prometheus指标的变化

测试结果表明，修复后Kiali能够正确显示通过HTTPS访问的外部服务信息，解决了"Unknown"节点的问题。

总结

这个问题揭示了Kiali在Ambient模式下对TCP流量处理的一个盲点。通过这次修复，Kiali增强了对各种协议类型的支持能力，特别是在Istio Ambient模式下的可观测性得到了提升。对于使用Ambient模式的用户来说，现在可以更全面地监控和分析包括HTTPS在内的所有类型的出站流量。

这一改进也体现了Kiali项目对新兴服务网格架构的快速适应能力，以及开发团队对用户体验细节的关注。随着Istio Ambient模式的成熟，Kiali将继续优化其功能，为用户提供无缝的服务网格可视化体验。