Istio-proxy Iptable规则
Isito官网bookinfo示例
进入Product Page容器查看Iptables配置（注：蓝色：入站流量路由，粉色：出站流量路由，绿色：注释）
# 查看 NAT 表中规则配置的详细信息
$ iptables -t nat -L -v
# PREROUTING 链：用于目标地址转换（DNAT），将所有入站 TCP 流量跳转到 ISTIO_INBOUND 链上
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
2 120 ISTIO_INBOUND tcp -- any any anywhere anywhere# INPUT 链：处理输入数据包，非 TCP 流量将继续 OUTPUT 链
Chain INPUT (policy ACCEPT 2 packets, 120 bytes)
pkts bytes target prot opt in out source destination# OUTPUT 链：将所有出站数据包跳转到 ISTIO_OUTPUT 链上
Chain OUTPUT (policy ACCEPT 41146 packets, 3845K bytes)
pkts bytes target prot opt in out source destination
93 5580 ISTIO_OUTPUT tcp -- any any anywhere anywhere# POSTROUTING 链：所有数据包流出网卡时都要先进入POSTROUTING 链，内核根据数据包目的地判断是否需要转发出去，我们看到此处未做任何处理
Chain POSTROUTING (policy ACCEPT 41199 packets, 3848K bytes)
pkts bytes target prot opt in out source destination# ISTIO_INBOUND 链：将所有目的地为 9080 端口的入站流量重定向到 ISTIO_IN_REDIRECT 链上
Chain ISTIO_INBOUND (1 references)
pkts bytes target prot opt in out source destination
2 120 ISTIO_IN_REDIRECT tcp -- any any anywhere anywhere tcp dpt:9080# ISTIO_IN_REDIRECT 链：将所有的入站流量跳转到本地的 15001 端口，至此成功的拦截了流量到 Envoy
Chain ISTIO_IN_REDIRECT (1 references)
pkts bytes target prot opt in out source destination
2 120 REDIRECT tcp -- any any anywhere anywhere redir ports 15001# ISTIO_OUTPUT 链：选择需要重定向到 Envoy（即本地） 的出站流量
（1）非localhost->envoy
（2）istio-proxy发起请求->跳过iptables直接访问
（3）非istio-proxy（app）发起localhost请求->跳过iptables直接访问
（4）其他请求->envoy
Chain ISTIO_OUTPUT (1 references)
pkts bytes target prot opt in out source destination
0 0 ISTIO_REDIRECT all -- any lo anywhere !localhost
40 2400 RETURN all -- any any anywhere anywhere owner UID match istio-proxy
0 0 RETURN all -- any any anywhere anywhere owner GID match istio-proxy
0 0 RETURN all -- any any anywhere localhost
53 3180 ISTIO_REDIRECT all -- any any anywhere anywhere# ISTIO_REDIRECT 链：将所有流量重定向到 Envoy（即本地） 的 15001 端口
Chain ISTIO_REDIRECT (2 references)
pkts bytes target prot opt in out source destination
53 3180 REDIRECT tcp -- any any anywhere anywhere redir ports 15001
入站：PREROUTING->ISTIO_INBOUND-(app port)->ISTIO_IN_REDIRECT-(envoy 15001)->REDIRECT
出站：OUTPUT->ISTIO_OUTPUT-(!localhost)->ISTIO_REDIRECT-(envoy 15001)->REDIRECT
OUTPUT->ISTIO_OUTPUT-(UID or GID istio-proxy)->RETURN->POSTROUTING
OUTPUT->ISTIO_OUTPUT-(localhost and !istio-proxy)->RETURN->POSTROUTING
OUTPUT->ISTIO_OUTPUT-(others)->ISTIO_REDIRECT-(envoy 15001)->REDIRECT
iptables 显示的链的顺序，即流量规则匹配的顺序。其中要特别注意 ISTIO_OUTPUT 链中的规则配置。为了避免流量一直在 Pod 中无限循环，所有到 istio-proxy 用户空间的流量都返回到它的调用点中的下一条规则，本例中即 OUTPUT 链，因为跳出 ISTIO_OUTPUT 规则之后就进入下一条链 POSTROUTING。
ISTIO_OUTPUT 链规则匹配的详细过程如下：
（1）如果目的地非 localhost 就跳转到 ISTIO_REDIRECT 链
（2）所有来自 istio-proxy 用户空间的流量跳转到它的调用点 OUTPUT 继续执行 OUTPUT 链的下一条规则
注：因为 OUTPUT 链中没有下一条规则了，所以会继续执行 POSTROUTING 链然后跳出 iptables，直接访问目的地
（4）如果流量不是来自 istio-proxy 用户空间，又是对 localhost 的访问，那么就跳出 iptables，直接访问目的地
（5）其它所有情况都跳转到 ISTIO_REDIRECT 链
Istio proxy路由流程图
注：服务调用链路 Product Page->Reviews->Ratings
入站（1-8）：Product Page->PREROUTING->ISTIO_INBOUND-(app port)->ISTIO_IN_REDIRECT-(envoy 15001)-REDIRECT->Envoy Inbound Handler->OUTPUT->ISTIO_OUTPUT->ISTIO_REDIRECT-(UID|GID istio-proxy and localhost)->RETURN->POSTROUTING->Reviews
出站（9-17）： Reviews->OUTPUT->ISTIO_OUTPUT-(!localhost)->ISTIO_REDIRECT-(envoy 15001)->REDIRECT->Envoy Outbound Handler->OUTPUT->ISTIO_OUTPUT-(UID or GID istio-proxy)->ISTIO_REDIRECT->RETURN->POSTROUTING->Ratings
参考连接：https://jimmysong.io/posts/envoy-sidecar-routing-of-istio-service-mesh-deep-dive/
