Istio en Kubernetes: prueba tráfico y mTLS con cuidado

Istio incorpora funciones de tráfico, identidad y observabilidad para servicios en Kubernetes. No es una capa que convenga instalar por defecto en cualquier clúster. Primero define qué problema resolverás y cómo comprobarás el resultado.

Esta guía utiliza un laboratorio con modo sidecar. Istio también ofrece otros diseños, como ambient, con requisitos y procedimientos propios; no mezcles instrucciones de ambos.

Comprueba compatibilidad y recursos

Consulta la matriz de Kubernetes e Istio y selecciona una versión mantenida. Reserva capacidad para el plano de control y proxies.

Instala istioctl desde la release oficial de tu arquitectura y verifica su distribución. No copies un script de descarga esperando que siempre produzca los mismos archivos.

istioctl version --remote=false
kubectl config current-context
kubectl get nodes

Instala un perfil de laboratorio

Revisa los perfiles disponibles para la versión elegida. Un perfil demo facilita una práctica, pero no debe presentarse como configuración de producción:

istioctl install --set profile=demo
kubectl -n istio-system get pods

Lee el resumen y sus requisitos antes de confirmar. Si no tienes recursos suficientes, corrige el diseño del laboratorio en vez de ignorar estados pendientes.

Namespace y proxies

kubectl create namespace mesh-lab
kubectl label namespace mesh-lab istio-injection=enabled

La inyección afecta la creación de pods según la configuración. Una etiqueta añadida no significa que todos los pods existentes ya tengan proxy.

Despliega una aplicación de prueba y comprueba contenedores y estado. Si necesitas recrear cargas, hazlo dentro del laboratorio y conserva sus datos.

Verifica tráfico antes de aplicar restricciones

Comprueba que una petición permitida llega al servicio y observa rutas, logs y configuración del proxy:

istioctl proxy-status
kubectl -n mesh-lab get pods

Un estado sincronizado ayuda al diagnóstico, pero no demuestra por sí solo que todas las comunicaciones estén cifradas o autorizadas.

Exigir mTLS con un alcance claro

Una política de referencia para el namespace:

apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: exigir-mtls
  namespace: mesh-lab
spec:
  mtls:
    mode: STRICT

Antes de aplicarla, comprueba que los clientes pertinentes puedan utilizar mTLS según el diseño. Una carga fuera de ese contexto puede perder acceso.

mTLS autentica y cifra el transporte entre componentes compatibles; no reemplaza autorización de aplicación ni decide por sí solo qué usuario puede realizar una operación.

Rutas y observabilidad

Si añades reglas de enrutamiento, prueba host, puerto y versión de destino. Una configuración aceptada por Kubernetes puede seguir describiendo una ruta que no recibe tráfico.

Evita instalar todos los addons sin una pregunta de observación. Cada componente consume recursos y añade acceso y mantenimiento.

Retirada y mantenimiento

Planifica actualización de plano de control y proxies conforme a la versión. Documenta cómo retirar políticas y cargas del laboratorio sin afectar servicios compartidos.

No borres namespaces o componentes de una mesh administrada por otra persona. La retirada debe respetar dependencias y datos.

Preguntas frecuentes

¿Activar Istio garantiza seguridad de la aplicación?

No. Añade mecanismos que debes configurar y probar; vulnerabilidades, autorización y datos siguen requiriendo controles.

¿Etiquetar un namespace modifica inmediatamente todos sus pods?

No debes asumirlo. Revisa cómo se crean o recrean las cargas y qué proxies están realmente presentes.

¿Puedo aplicar STRICT a todo el clúster desde el primer día?

No es una recomendación general. Evalúa clientes, compatibilidad y efectos en un alcance controlado antes de ampliar.

En pocas palabras

Istio añade capacidades de tráfico y seguridad entre servicios, con requisitos de compatibilidad y operación. Exigir mTLS modifica quién puede comunicarse y debe probarse dentro de un alcance controlado.

Conclusión

Mantén el laboratorio pequeño, documenta rutas y verifica identidad antes de ampliar políticas. Evalúa si la complejidad de una mesh responde a una necesidad real de tu aplicación.

Para continuar, revisa Instalar Kubernetes en Ubuntu desde cero: guía completa y Docker: qué es y cómo usarlo para ejecutar contenedores.

Fuentes y documentación

Documentación de istio.io.

Documentación de istio.io.