Примітки до змін Istio 1.31.0

Примітки до випуску Istio 1.31.0.

Aug 31, 2026

Керування трафіком

Покращено ведення журналу у випадку, коли CRD Gateway API, встановлений у кластері, має версію нижчу за мінімальну, необхідну для цієї версії Istio. Тепер повідомлення реєструється на рівні warn і містить пояснення, що ресурси цього типу не оброблятимуться доти, доки CRD не будуть оновлені. Раніше це повідомлення реєструвалося на рівні info і його легко було пропустити, що ускладнювало діагностику порушень пропускання TLS після оновлення до версії 1.30 із застарілими CRD.
Покращено масштабованість istiod у режимі ambient шляхом обмеження XDS-розсилок від змін Address робочих навантажень/сервісів лише до відповідних waypoint, замість розсилки всім waypoint і проксі. Можна вимкнути за допомогою AMBIENT_SCOPED_ADDRESS_PUSHES=false.
Додано підтримку власного імені taint для контролера зняття taint з вузлів pilot через змінну середовища PILOT_NODE_UNTAINT_CONTROLLERS_TAINT_NAME. Типове значення — cni.istio.io/not-ready. (Тікет #57844)
Додано підтримку виключення конфігурації політик з Istio, коли анотацію istio.io/ignore-policy-attachment встановлено в true на обʼєкті BackendTLSPolicy або XBackendTrafficPolicy. Це дозволяє користувачам запобігати перетворенню конкретних політик у конфігурацію Istio, коли політика призначена для іншого контролера шлюзу, ніж Istio.
Приклад використання:

apiVersion: gateway.networking.k8s.io/v1
kind: BackendTLSPolicy
metadata:
annotations:
  istio.io/ignore-policy-attachment: "true"

(Тікет #60122)

Додано підтримку виключення просторів імен і хостів з hosts вихідного слухача Sidecar за допомогою префікса ~ у просторі імен. Записи без префікса імпортуються як раніше, а записи з префіксом ~ віднімаються від них: ~ns1/* виключає всі хости в ns1, а ~/foo.com виключає foo.com з кожного простору імен. Це дозволяє великим мережам імпортувати все, крім кількох просторів імен (наприклад, */* плюс ~ns1/*), не перелічуючи довгий список дозволених. (Тікет #60139)
Додано перевірку ініціалізації, яка підтверджує, що вбудований бінарний файл nft підтримує JSON-вивід. Рідний бекенд nftables вимагає JSON для читання конфігурації під час видалення podʼа. На хостах, чий бінарний файл nft не підтримує JSON, ці виклики завершуються помилкою Error: JSON support not compiled-in при кожному видаленні, і агент CNI повторює спроби нескінченно. Нова перевірка виявляє цю помилку під час запуску та повертається до бекенду iptables. (Тікет #60328)
Додано поле prefix_rewrite до HTTPRedirect, що вмикає перезапис шляху з урахуванням префікса у правилах перенаправлення. Це дозволяє видаляти або замінювати зіставлений префікс шляху під час перенаправлення, наприклад, перенаправлення example.com/foo/bar на foo.example.com/bar. (Тікет #47500),(Тікет #47777),(Тікет #52521)
Додано поле budget_interval до API RetryBudget TrafficPolicy для налаштування інтервалу, з яким запити враховуються під час обчислення бюджету повторних спроб. Типове значення, 0 мс, зберігає наявну поведінку врахування лише запитів у процесі. (Тікет #60389)
Додано підтримку зважених канаркових waypoint у режимі ambient. Сервіс (або простір імен) тепер може посилатися на основний і канарковий waypoint через мітки istio.io/use-waypoint-canary і istio.io/use-waypoint-canary-namespace, при цьому анотація istio.io/use-waypoint-canary-weight спрямовує настроювану частку внутрішньомережевих зʼєднань сервісу (і, з istio.io/ingress-use-waypoint, вхідних запитів) до канаркового waypoint без жодних змін на стороні клієнта. (Тікет #60801)
Додано meshConfig.serviceEntryVisibility, що дозволяє адміністратору мережі контролювати видимість ресурсів ServiceEntry. Ambient (ztunnel і waypoint) стандартно застосовує видимість; класичні sidecar додатково враховують її, коли встановлено applyToSidecars. Функція неактивна, якщо не налаштована, тому наявні мережі типово не зазнають впливу. (Тікет #60870)
Додано GatewayClass istio-agentgateway-waypoint для розгортання agentgateway як waypoint.
Додано режим політики вихідного трафіку ALLOW_ANY_DYNAMIC_DNS. Коли встановлено в meshConfig.outboundTrafficPolicy.mode, HTTP-запити відкритого тексту до невідомих призначень пересилаються через динамічний прямий проксі Envoy, який розвʼязує імена хостів із заголовка Host під час запиту. Не-HTTP трафік (TLS і сирий TCP) продовжує використовувати PassthroughCluster. Обмежено лише проксі sidecar. Не підтримується в CRD Sidecar. Необовʼязкову ініціацію вихідного TLS можна налаштувати через meshConfig.outboundTrafficPolicy.tls.
Додано підтримку connectionSettings у ProxyConfig, що дозволяє налаштовувати обмеження буфера слухача, HTTP-таймаути, параметри HTTP/2 і нормалізацію шляху/заголовків. Новий профіль EDGE застосовує рекомендовані типові значення Envoy edge-proxy до проксі шлюзів.
Додано нову операцію виправлення MERGE_AND_REPLACE_LIST для EnvoyFilter. Вона поводиться як MERGE, за винятком того, що повторювані (спискові) поля, присутні у виправленні, повністю замінюють відповідний список у згенерованій конфігурації замість додавання до нього. Це застосовується до цілей виправлення CLUSTER, LISTENER, FILTER_CHAIN, ROUTE_CONFIGURATION, VIRTUAL_HOST і HTTP_ROUTE. Списки, вкладені в конфігурації фільтрів типу Any (HTTP, мережеві та слухачеві фільтри, а також транспортні сокети), не зазнають впливу та продовжують дотримуватися семантики MERGE.
Додано реалізацію функції AllowInsecureFallback Gateway API в логіці перевірки сертифіката клієнта. Ця функція дозволяє шлюзу запитувати сертифікат клієнта та намагатися перевірити його, але якщо клієнт не надає сертифікат або сертифікат недійсний, шлюз все одно дозволяє зʼєднання. Типово Istio заповнює HTTP-заголовок x-forwarded-client-cert, тому коли AllowInsecureFallback увімкнено, бекенд може перевіряти сертифікат замість шлюзу. (Тікет #60018)
Додано підтримку налаштування параметрів keepalive PING HTTP/2 на вихідних зʼєднаннях через DestinationRule. (Тікет #55640)
Додано defaultTrafficPolicy до MeshConfig — базові для всієї мережі connectionPool і outlierDetection, які успадковують вихідні кластери. DestinationRule, який встановлює один із цих блоків, перевизначає базовий рівень для цього блоку; блок, який DestinationRule залишає невстановленим, тепер успадковує базовий рівень мережі замість вбудованих типових значень Istio. Коли базовий рівень не налаштовано, поведінка не змінюється. Базовий connectionPool також застосовується до вхідних кластерів і кластера passthrough.
Додано підтримку зонального балансування навантаження Envoy через нове поле zoneAwareLbSetting на DestinationRule.TrafficPolicy.LoadBalancerSettings і MeshConfig. Коли увімкнено, Envoy автоматично маршрутизує трафік до точок доступу у тій самій зоні доступності, що й підлеглий проксі, переливаючись в інші зони лише тоді, коли локальної ємності недостатньо. Це відрізняється від наявного localityLbSetting тим, що маршрутизація на рівні зон обробляється автоматично Envoy з використанням розподілу зон проксі, а не через статичні відсотки. Порядок відмовостійкості між регіонами можна налаштувати через поле failover, а пріоритетні рівні на основі міток можна накладати зверху через failoverPriority. Зональне балансування навантаження вимагає ISTIO_META_ENABLE_SELF_DISCOVERY: "true" у meshConfig.defaultConfig.proxyMetadata, щоб впровадити local_cluster самовиявлення в початкові завантаження sidecar. Підтримується в режимі sidecar лише і не підтримується в режимі ambient. (reference) (reference)
Увімкнено типове надсилання несправних точок доступу, якщо не налаштовано OutlierDetection.minHealthPercent. Це можна вимкнути, встановивши PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS у false.
Виправлено обробку Gateway API для реалізації розвʼязання конфліктів BackendTLSPolicy. (Тікет #57817)
Виправлено помилку, через яку не відображалися вхідні кластери для проксі-серверів, що повторно підключалися до нового екземпляра Istiod (наприклад, під час послідовного перезапуску), коли под ще не був присутній у кеші kube informer. Мітки робочих навантажень тепер заповнюються до обчислення цілей сервісів, тому шлях резервних метаданих у GetProxyServiceTargets правильно зіставляє сервіси замість повернення порожнього списку. (Тікет #58125)
Виправлено проблему, через яку, коли увімкнено PILOT_ENABLE_QUIC_LISTENERS, згенеровані ресурси Service Gateway API не слухали відповідний UDP-порт для кожного HTTPS-слухача. (Тікет #58247)
Виправлено проблему, через яку HTTPS-слухачі, визначені через ListenerSet, не доставляли TLS-сертифікати, коли батьківський Gateway використовував ручне розгортання. (Тікет #59535)
Виправлено проблему, через яку фільтри HTTPRoute і GRPCRoute з недійсними значеннями заголовків мовчки відкидалися з конфігурації Envoy замість повідомлення статусу InvalidFilter. (Тікет #59933)
Виправлено короткочасну втрату трафіку під час зміни мітки istio.io/rev на Kubernetes Gateway (або ListenerSet). Панель управління, яка раніше володіла ресурсом, більше не відкидає ресурс і не надсилає порожню конфігурацію xDS до podʼів шлюзу, які все ще працюють на старій версії. Записи статусу для неволодіючих версій все ще придушуються, тому версії не перемикаються на статусах одна одної. (Тікет #59959)
Виправлено багатомережевий ambient так, щоб він тепер маршрутизував до waypoint, коли вхідний шлюз в одній мережі викликає сервіс в іншій мережі, і лише якщо Service налаштований з istio.io/ingress-use-waypoint.
Виправлено проблему, через яку конфігурація слухача waypoint у кластерах IPv6 містила IPMatcher.RangeMatcher з порожнім полем ranges, коли headless-сервіс (spec.clusterIP: None) був присутній у сфері дії waypoint. Це виникало тому, що заповнювач constants.UnspecifiedIP, закодований у IPv4, який використовується для DefaultAddress headless-сервісів, відфільтровується для суто IPv6 проксі функцією FilterAddressesByIPFamily. Envoy 1.38 суворо перевіряє правило repeated.min_items=1 прото на IPMatcher.RangeMatcher.ranges і відхиляє розсилку LDS. Конструктор слухача waypoint тепер пропускає запис IPRangeMatcher, коли немає адрес для розміщення в ньому, що відповідає наявній поведінці навколишнього коду, який уже видаляє половину імені хоста з svcHostnameMap для того самого випадку. Кластери IPv4 не зазнають впливу поведінково — заповнювач-матчер, який раніше видавався, нічого не зіставляв. (Тікет #60310)
Виправлено проблему, через яку балансування навантаження consistentHash у DestinationRule не надсилало трафік до нових точок доступу після масштабування через регресію Envoy (envoyproxy/envoy#45212), де кільце RING_HASH не перебудовувалося під час змін точок доступу у пакетних оновленнях. (Тікет #60312)
Виправлено фатальну паніку concurrent map writes в агенті istio-cni, коли два podʼи додавалися до ambient мережі на одному вузлі одночасно. (Тікет #60328)
Виправлено DestinationRule і бекенд-політику Gateway API (BackendTLSPolicy або XBackendTrafficPolicy), які націлюються на той самий хост, так що поля DestinationRule тепер мають перевагу, а бекенд-політика лише заповнює поля, які DestinationRule залишає невстановленими, незалежно від того, що було створено першим. (Тікет #60358)
Виправлено помилку в режимі ambient, через яку один Service, що поєднує publishNotReadyAddresses: true з розподілом трафіку PreferSameZone або PreferSameNode, спричиняв те, що ztunnel отримував healthPolicy: AllowAll для кожного іншого Service, що використовує той самий пресет розподілу трафіку, що призводило до маршрутизації трафіку до неготових точок доступу у масштабі кластера. (Тікет #60422)
Виправлено проблему, через яку очищення проксі могло викликати паніку замість повернення помилки, коли адміністративна точка доступу Envoy була недоступна.
Виправлено проблему, через яку додаткові простори імен у meshConfig.defaultServiceExportTo і meshConfig.defaultVirtualServiceExportTo не враховувалися, коли типове значення включало поточний простір імен як .. (Тікет #60560)
Виправлено помилку, через яку видалення слухача з ListenerSet залишало осиротілий запис у status.listeners ресурсу назавжди. Застарілий запис робив status.listeners довшим за spec.listeners і, після повторних циклів додавання/видалення слухачів, заклинював observedGeneration ListenerSet, тому пізніші зміни специфікації більше не відображалися в його статусі. reportListenerSetStatus тепер обрізає записи статусу для слухачів, які більше не присутні в специфікації, що відповідає наявній поведінці для ресурсів Gateway. (Тікет #60578)
Виправлено перевірку DestinationRule, яка помилково відхиляла значення агресивності прогріву між 0 і 1. (Тікет #3395),(Тікет #55153)
Виправлено помилку, через яку istiod не підхоплював оновлені секрети віддаленого кластера (наприклад, під час ротації облікових даних/токенів), доки не перезапускався. Новий реєстр кластерів міг потрапити в глухий кут, очікуючи синхронізації, залишаючи реєстр сервісів застарілим для відповідного віддаленого кластера. (Тікет #60612)
Виправлено проблему, представлену в Istio 1.30, через яку зміни лише метаданих у ресурсах VirtualService (наприклад, анотації Helm, мітки Argo CD або kubectl.kubernetes.io/last-applied-configuration) спричиняли непотрібні розсилки XDS усім проксі. Це могло спричинити значне збільшення використання процесора панелі управління та затримки розсилки в кластерах з багатьма ресурсами VirtualService, керованими інструментами GitOps. Виправлення відновлює поведінку до 1.30, коли лише зміни специфікації або зміни міток/анотацій istio.io спричиняють розсилку. (Тікет #60629)
Виправлено дубльовані та надмірні розсилки під час використання ресурсів WasmPlugin через перетворення TrafficExtension.
Виправлено глухий кут, через який pod агента вузла istio-cni міг не запуститися (наприклад, після перезавантаження вузла), оскільки втулок CNI пропускав створення kube-клієнта лише для власного podʼа агента, коли було увімкнено режим ambient. Випереджувальна перевірка тепер виконується також у режимі sidecar, тому pod агента більше не блокується в kubeconfig, який він ще не записав. (Тікет #60668)
Виправлено типові HTTP-повторні спроби для вхідних маршрутів waypoint. Параметр meshConfig.defaultHttpRetryPolicy тепер застосовується до локальних сервісів, прикріплених до waypoint. (Тікет #60682)
Виправлено проблему, через яку EXIT_ON_ZERO_ACTIVE_CONNECTIONS ніколи не спрацьовував на ambient вхідних шлюзах і waypoint, оскільки цикл виведення pilot-agent рахував внутрішньопроцесні зʼєднання на внутрішніх слухачах HBONE Envoy (connect_originate, connect_terminate, main_internal тощо), що перешкоджало досягненню нуля лічильником активних зʼєднань і змушувало проксі чекати до terminationGracePeriodSeconds. (Тікет #60728)
Виправлено проблему, через яку мітка service.istio.io/canonical-name могла закінчуватися недійсним символом . або _, коли обрізалася до 63 символів у шаблоні впровадження.
Виправлено проблему, через яку HTTPRoute з порожніми або пропущеними backendRefs повертав код статусу HTTP 404 замість 500. Це відповідає поведінці, яку забезпечує тест відповідності Gateway API HTTPRouteNoBackendRefs, представлений у v1.6.0.
Виправлено проблему, через яку оголошена можливість HBONE не поширювалася на автоматично зареєстровані ресурси WorkloadEntry для не-Kubernetes робочих навантажень.
Виправлено проблему, через яку умова Accepted на Gateway не встановлювалася в False під час посилання на недійсний або неіснуючий parametersRef. Це відповідає поведінці, яку забезпечує тест відповідності Gateway API GatewayInvalidParametersRef, представлений у v1.6.0.
Виправлено блокування міжмережевого трафіку через шлюз схід-захід помилковим RBAC-фільтром deny-all, коли сервіс призначення має ресурси L7 AuthorizationPolicy. (Тікет #60806)
Виправлено помилку, через яку мережевий шлюз віддаленого кластера міг зникнути з міжмережевої маршрутизації після ротації облікових даних і не відновлюватися, доки istiod не перезапускався. Заміна реєстру на місці тепер повторно підключає новий реєстр до обробників агрегованого контролера, щоб його майбутні події шлюзів і сервісів поширювалися, і перезавантажує шлюзи один раз, щоб підхопити ті, що були виявлені під час синхронізації перед заміною. (Тікет #60920)
Виправлено проблему в мультикластерних розгортаннях, через яку ротація istio-remote-secret віддаленого кластера могла назавжди стерти шарди точок доступу для сервісів зі стабільними точками доступу в цьому кластері, роблячи їх недосяжними між кластерами, доки istiod не перезапускався. (Тікет #61043)
Виправлено проблему, через яку балансування навантаження consistentHash у DestinationRule не працювало для сервісів, маршрутизованих через проксі waypoint у режимі ambient, коли не було VirtualService. Кластер Envoy правильно отримував lb_policy: RING_HASH, але вхідному маршруту бракувало hash_policy, що змушувало Envoy повертатися до випадкового вибору бекенду та ламало липкі сесії. Раніше як обхідний шлях вимагався no-op passthrough VirtualService. (Тікет #61045)
Виправлено гонитву під час запуску istiod, через яку проба готовності могла повідомляти про готовність до того, як виділений сервер вебхуків впровадження та перевірки (--httpsAddr, типово :15017) починав приймати зʼєднання, що спричиняло періодичні таймаути failed calling webhook під час створення ресурсів одразу після того, як istiod ставав готовим. Це не впливає на розгортання, де вебхуки поділяють основний HTTP-сервер (порожній --httpsAddr). (Тікет #61049)
Виправлено проблему, через яку вхідні шлюзи оминали проксі waypoint для мультикластерних сервісів, коли віддалені робочі навантаження були в іншій мережі, що призводило до незастосування політик авторизації. (Тікет #61092)
Виправлено проблему, через яку Deployment проксі шлюзу могли назавжди не створюватися під час запуску istiod. (Тікет #61095)
Виправлено проблему, через яку pod, вибраний workloadSelector ServiceEntry, міг запускатися без цього сервісу у вхідній конфігурації свого sidecar. Трафік до порту не оброблявся як протокол, оголошений у ServiceEntry, і портовий PeerAuthentication не застосовувався. Pod не відновлювався сам; лише перезапуск istiod виправляв це. (Тікет #61157)
Виправлено проблему, через яку istio-cni вважав podʼи hostNetwork придатними для залучення до ambient. (Тікет #61168)
Виправлено проблему, через яку через низку проблем pilot ігнорував ресурси ListenerSet і прикріплені до них маршрути під час генерації конфігурації для agentgateway. Pilot більше не відфільтровує ресурси ListenerSet та їхні прикріплені маршрути, що дозволяє agentgateway в Istio належним чином обробляти ресурси ListenerSet.
Виправлено звітування статусу ListenerSet, коли ListenerSet не дозволений батьківським ресурсом Gateway для agentgateway. Коли ListenerSet не дозволений батьківським Gateway, статус стану Accepted тепер звітується як False, чого раніше не було. Крім того, оскільки функція ListenerSet більше не є експериментальною, починаючи з Gateway API v1.5.0, вона більше не захищена прапорцем функції PILOT_ENABLE_ALPHA_GATEWAY_API.
Виправлено проблему, через яку Gateway agentgateway, підключений до бекендів із впровадженим sidecar (mesh), використовував відкритий текст замість взаємного TLS Istio. Раніше сирий TCP, маршрутизований до mesh-бекенду (через TCPRoute або TLSRoute у режимі Terminate), міг зависати для протоколів, де сервер говорить першим, таких як SMTP або MySQL, а бекенди, що застосовують суворий взаємний TLS STRICT, були недосяжні.
Виправлено витік памʼяті та goroutine у режимі ambient мультикластерного Istiod, де колекції локальності вузлів для кожного кластера були обмежені часом життя процесу, а не часом життя кластера, тому вони ніколи не знищувалися, коли віддалений кластер видалявся. (Тікет #60033)
Виправлено помилку в режимі ambient мультикластерного Istiod, через яку агреговані (локальні + віддалені) колекції могли повідомляти про себе як синхронізовані до того, як віддалені кластери були виявлені та синхронізовані. У результаті Istiod міг почати обслуговування лише з даними локального кластера, тимчасово пропускаючи робочі навантаження, сервіси та точки доступу з віддалених кластерів під час запуску. Агреговані колекції тепер чекають, поки мультикластерний контролер і колекції кожного віддаленого кластера синхронізуються, перш ніж бути позначеними готовими.
Виправлено проблему, через яку pod, залучений до ambient, міг бути виключений з ipset проб справності хоста після перезавантаження вузла або kubelet, що спричиняло перенаправлення проб kubelet на ztunnel і відхилення, доки агент вузла istio-cni не перезапускався. Під час запуску агент вузла міг виключати все ще залучені podʼи з ipset, коли їхня IP ще не була спостережуваною, і тепер він повторно підтверджує членство в ipset проб для залучених podʼів під час узгодження.
Виправлено витік файлових дескрипторів в агенті вузла istio-cni: коли сканування procfs знаходило більше одного мережевого простору імен для того самого podʼа, файловий дескриптор netns кандидата, що програв, відкидався без закриття, закріплюючи простір імен у ядрі до збирання сміття.
Виправлено блокування в агенті вузла ambient CNI, через який подія видалення podʼа, що відбувалася одночасно з (пере)підключенням ztunnel, могла назавжди заблокувати сервер ZDS. (Тікет #1674)
Виправлено проблему, через яку режим mTLS точок доступу не виводився з політики трафіку верхнього рівня DestinationRule, коли цільовий піднабір не вказував режим TLS для порту. Політика трафіку піднабору тепер правильно повертається до параметра TLS рівня DestinationRule.
Виправлено звітування статусу для посилань на сертифікати в ресурсах Gateway для відповідності специфікації Gateway API v1.5.0. Воно змінює статус Gateway на звітування умов типу ResolvedRefs, а також додає додаткові деталі до умови Accepted, коли вона завершується невдачею через недійсні або неіснуючі сертифікати.
Виправлено стан Accepted в Kubernetes Gateway, щоб він відображав дійсність його слухачів. Коли один або кілька слухачів не прийняті (наприклад, непідтримуваний протокол слухача), Gateway тепер повідомляє причину ListenersNotValid і встановлюється в Accepted=False лише тоді, коли жоден із його слухачів не прийнятий. Раніше Gateway завжди звітувався як Accepted незалежно від його слухачів.
Виправлено проблему, через яку proxyless gRPC xDS-клієнти могли отримувати надто широкі відповіді RDS RouteConfiguration від Istiod.
Виправлено помилку, через яку внутрішній слухач помилково створювався, коли слухач був типу HTTPS або TLS, але не мав визначеного розділу TLS. Наступна версія Gateway API запобігатиме потраплянню цієї комбінації вхідних даних до контролера. (Тікет #60562)
Виправлено генерацію конфігурації для sidecar до 1.29.2.
Виправлено паніку istiod під час обробки VirtualService з TCP- або TLS-маршрутами без призначень, що могло статися, коли валідуючий вебхук не встановлений (наприклад, у розгортаннях без типової версії). (Тікет #60110)
Виправлено витоки goroutine і памʼяті в istiod у режимі ambient мультикластерного середовища, коли віддалені кластери видаляються або оновлюються. Внутрішні колекції, побудовані для кожного віддаленого кластера, не звільняли обробники подій, які вони зареєстрували на своїх входах, під час знищення, що спричиняло накопичення goroutine і памʼяті з часом, коли кластери видалялися або переналаштовувалися. (Тікет #60033)
Виправлено витік памʼяті у фреймворку контролера krt, через який зміна ключа, використаного у фільтрі Fetch (наприклад, зміна мітки podʼа для вказівки на інший waypoint), залишала застарілі записи зворотного індексу, які ніколи не очищалися. З часом це могло збільшити використання памʼяті та спричинити непотрібні повторні обчислення.
Виправлено витік goroutine у виборі лідера istiod, через який кожен цикл виборів (втрата та повторне отримання лідерства) призводив до витікання одного goroutine до завершення процесу. (Тікет #60843)
Виправлено звітування статусу ListenerSet так, щоб ListenerSet без жодного дійсного слухача тепер звітував стани Accepted і Programmed як False з причиною ListenersNotValid. Раніше стани рівня ListenerSet могли залишатися True, навіть коли жоден із його слухачів не був придатним до використання.
Виправлено глухий кут у мультикластерному ClusterStore, де AllReady міг рекурсивно отримувати RWMutex сховища для читання через triggerRecomputeOnSync -> GetByID, поки записувач очікував, блокуючи подальші читання та записи до сховища.
Виправлено обслуговування ambient мультикластерним середовищем застарілого знімка віддаленого кластера після ротації його облікових даних. Колекції для кожного кластера кешувалися лише за ідентифікатором кластера, тому оновлення секрету, що несе новий kubeconfig, продовжувало повторно використовувати колекції, побудовані для попереднього покоління, чиї клієнт та інформери завершуються, щойно новий синхронізується. Тепер вони кешуються за поколінням і перебудовуються на новому клієнті. (Тікет #60033)
Виправлено витік памʼяті в Istiod, через який записи needResync для невдалих IP-адрес podʼів ніколи не очищалися.
Виправлено маршрутизацію відмовостійкості, коли мережа включена. Мережа вважається бажаною, але не обовʼязковою, під час визначення пріоритету відмовостійкості. Наприклад, PreferSameZone має наступний порядок пріоритету: Network+Region+Zone, Network+Region, Network, Region+Zone, Zone і без збігу.
Виправлено відхилення згенерованих ресурсів Service Gateway, коли два імені слухачів нормалізуються до одного й того самого імені порту Service (імена, що відрізняються лише крапками проти дефісів або лише за межею 63 символів), що блокувало кожен неопублікований порт на Gateway. Конфліктні імена портів тепер розрізняються номером порту слухача.
Виправлено помилку, через яку агент вузла istio-cni міг зіставити ambient pod з мережевим простором імен іншого podʼа, коли сторонній процес перебував у цьому просторі імен під час сканування, що могло спричинити проксіювання трафіку з неправильною ідентичністю. Агент вузла тепер перевіряє, що простір імен містить одну з IP-адрес podʼа, перш ніж залучати pod. (Тікет #61211)
Виправлено помилку, через яку перепідключення ztunnel (наприклад, періодичний переробіток зʼєднань від keepaliveMaxServerConnectionAge) спричиняло повну розсилку робочих навантажень (WDS). Istiod тепер призначає кожному ресурсу WDS версію на основі вмісту і, коли клієнт, що перепідключається, повідомляє версії, які він уже має, через initial_resource_versions, повторно надсилає лише ресурси, які змінилися, поки клієнт був відключений. Старіші версії ztunnel, які не повідомляють версії, продовжують отримувати повний набір. (Тікет #1966)
Виправлено zoneAwareLbSetting.enabled: false, щоб явно вимикати вбудовану зональну маршрутизацію Envoy шляхом видачі routing_enabled: 0%. Раніше enabled: false був no-op: Istio не видавав ZoneAwareLbConfig, що змушувало Envoy повертатися до свого типового routing_enabled: 100%, який автоматично вмикав зональну маршрутизацію, коли був присутній локальний кластер самовиявлення. Це робило поступове розгортання небезпечним, оскільки podʼи в змішаному стані (деякі з самовиявленням, деякі без) нерівномірно розподіляли трафік.
Оновлено версію nftables, яку використовують distroless-образи Istio. Версія nftables раніше була закріплена на 1.1.1, щоб уникнути помилки, яка могла спричинити збій старіших версій nftables на вузлах K8s після того, як Istio використовував новішу версію, упаковану в його образах, на тому самому вузлі.
Основні дистрибутиви Linux були поінформовані про проблему та випустили виправлення. У результаті Istio видаляє закріплення версії nftables. Користувачам рекомендується оновити пакунок nftables на своїх вузлах до останньої доступної версії, щоб гарантувати встановлення виправленої версії.
Якщо ви продовжуєте стикатися зі збоями nftables на своїх вузлах, відкотіться до старішої версії Istio та зверніться до постачальника ОС вашого вузла з проханням перенести виправлення у вашу версію ОС. (Тікет #58492)
Оптимізовано розвʼязання вихідних сервісів sidecar: слухачі, які імпортують лише точні (не wildcard), явно визначені в просторі імен хости, тепер визначають сервіси через прямі пошуки в індексі сервісів замість сканування кожного сервісу, видимого для простору імен, зменшуючи вартість для кожного слухача з O(services) до O(imported hosts) і усуваючи виділення повного списку. (Тікет #60473)

Безпека

Додано PILOT_ENABLE_STRICT_GATEWAY_MERGING для запобігання міжпросторовому злиттю ресурсів Gateway Istio з керованими ресурсами Gateway Gateway API. Коли увімкнено (типово), CRD Gateway Istio з різних просторів імен не зливаються з керованими проксі Gateway Gateway API. Некеровані (ручне розгортання) ресурси Gateway Gateway API не зазнають впливу. Встановіть PILOT_ENABLE_STRICT_GATEWAY_MERGING у false, щоб вимкнути.
Додано поля trustDomains і notTrustDomains до Source в AuthorizationPolicy, що дозволяє користувачам зіставляти або виключати запити на основі домену довіри, отриманого з сертифіката однорангового вузла.
Додано підтримку fips-140-3 як нового значення для змінної середовища COMPLIANCE_POLICY. Це застосовує TLS 1.2 або 1.3 з наборами шифрів, сумісними з FIPS (ECDHE_[RSA|ECDSA]WITH_AES_GCM_SHA для TLS 1.2, AES-GCM для TLS 1.3) і обмежує узгодження ключів кривими P-256 або P-384. На стороні проксі Envoy це використовує рідну політику відповідності FIPS_202205. Компоненти Go (istiod, istio-agent) мають бути зібрані з Go 1.24+ з використанням GOFIPS140=v1.0.0 (або пізнішої перевіреної версії), щоб увімкнути рідний криптографічний модуль Go FIPS 140-3. Змінна середовища GODEBUG=fips140=only автоматично впроваджується під час виконання для sidecar, шлюзів і панелі управління istiod, коли COMPLIANCE_POLICY налаштовано через значення Helm env (наприклад, --set pilot.env.COMPLIANCE_POLICY=fips-140-3). Примітка: GOEXPERIMENT=boringcrypto (використовується для FIPS 140-2) несумісний з цією політикою і не повинен використовуватися. BoringCrypto націлений лише на FIPS 140-2 і конфліктує з рідним модулем Go FIPS 140-3.
Додано нову змінну середовища PILOT_ENABLE_REMOTE_CREDENTIALS_CONTROLLER (типово true), яка перемикає контролери облікових даних для віддалених кластерів.
Виправлено відсутність перезавантажень сертифікатів у pilot-agent під час другої та наступних ротацій секретів Kubernetes для сертифікатів, змонтованих із файлів. (Тікет #59912)
Виправлено проблему, через яку caCertificateRefs[].kind: Secret у фронтенд mTLS Gateway API (spec.tls.frontend.default.validation.caCertificateRefs) відхилявся SDS-ом під час виконання, попри дійсну конфігурацію Gateway, включно з посиланнями в тому самому просторі імен і міжпросторовими посиланнями, дозволеними ReferenceGrant. (Тікет #60277)
Виправлено прогалину у валідації EnvoyFilter, через яку необмежений вираз зіставлення proxyVersion міг спричиняти надмірне використання памʼяті та процесора istiod під час компіляції регулярних виразів. Вираз зіставлення тепер обмежений 1024 символами.
Подяка: Про цю проблему повідомив Artem Cherezov (cherez0ff).
Виправлено зовнішніх постачальників SDS, налаштованих через extensionProviders, щоб використовувати налаштоване імʼя хоста сервісу як авторитет gRPC.
Виправлено зовнішнього постачальника SDS для шлюзів, щоб використовувати імʼя облікових даних (після видалення префікса sds://) як імʼя ресурсу SDS замість імені постачальника. Це дозволяє кільком шлюзам, що використовують того самого постачальника SDS, запитувати різні сертифікати. Для TLS MUTUAL імʼя ресурсу сертифіката CA правильно виводиться як <credential-name>-cacert. Коли не налаштовано жодного UDS-сокета, ні розширеного постачальника SDS, шлюз тепер повертається до отримання сертифікатів через ADS (секрети Kubernetes) замість мовчазної невдачі. (Тікет #57080)
Виправлено помилку, через яку istiod не перезавантажував свій кореневий сертифікат CA під час його ротації, якщо сертифікат надається через файли (наприклад, під час використання зовнішнього CA, такого як istio-csr).
Виправлено генератор api XDS (обслуговування конфігурації MCP), щоб вимагати перевірену ідентичність панелі управління. Раніше будь-який клієнт, який міг досягти порту XDS istiod, міг читати конфігурацію Istio в усіх просторах імен. Вимкніть за допомогою ENABLE_XDS_API_GENERATOR_AUTH=false, якщо це потрібно для сумісності.

Телеметрія

Покращено точку доступу /stats/prometheus pilot-agent для одночасного збору кількох цілей, оголошених анотацією prometheus.istio.io/scrape-targets, і обʼєднання виводу в оголошеному порядку. Podʼи з однією ціллю зберігають наявний потоковий шлях коду байт-у-байт. Для podʼів з кількома цілями відповіді OpenMetrics переписуються так, щоб обʼєднаний вивід містив рівно один термінатор # EOF. Відповіді метрик окремих цілей обмежені 10 МіБ, щоб обмежити памʼять агента; відповіді, що перевищують цю межу, відкидаються та зараховуються як невдалі збори. Невдачі збору для окремих цілей не блокують і збільшують istio_agent_scrape_failures_total{type="application"}. (Тікет #59567)
Додано нову змінну середовища PILOT_AGENT_MERGE_ENVOY_STATS для керування тим, чи обʼєднує pilot-agent статистику Envoy у свою точку доступу статистики. Встановіть false, щоб вимкнути обʼєднання статистики Envoy зі статистикою агента.
Додано нову метрику istio_cni_plugin_requests_total до агента вузла istio-cni. Вона підраховує запити додавання подій втулка CNI, оброблені агентом вузла, позначені response_code. (Тікет #60878)
Додано нову анотацію podʼа prometheus.istio.io/scrape-targets, яка дозволяє користувачам оголошувати кілька точок доступу метрик застосунку на pod як список, розділений комами, у форматі port:path. Цілі, що конфліктують із портом статусу агента або будь-яким зарезервованим Istio портом панелі даних, відхиляються під час впровадження зі зрозумілою людині помилкою. (Тікет #59567)
Додано дві нові змінні середовища, що вмикаються за бажанням, ENVOY_SECURE_METRICS_PORT і ENVOY_SECURE_MERGED_METRICS_PORT, які відкривають захищені mTLS точки доступу збору Prometheus на кожному проксі sidecar Envoy. Коли встановлені, sidecar додає статичні слухачі початкового завантаження на налаштованих портах, які вимагають взаємного TLS, дозволяючи Prometheus безпечно збирати метрики без покладання на контролі доступу на рівні мережі podʼа. Деталі дивіться в RFC. (Тікет #50114)
Виправлено проблему, через яку обʼєднання метрик pilot-agent давало неправильний результат, коли Envoy повідомляв метрики з використанням типу вмісту protobuf. Логіка, реалізована в pilot-agent, не може коректно обробляти тип вмісту protobuf, тому ця зміна обмежує дозволені типи вмісту лише text/plain і application/openmetrics-text. (Тікет #60322)
Видалено прапорець функції PILOT_SPAWN_UPSTREAM_SPAN_FOR_GATEWAY. Поведінка створення вихідних span для запитів шлюзу тепер завжди увімкнена. Користувачам, які раніше встановлювали це значення в false, слід видалити цю конфігурацію, оскільки вона більше не матиме жодного ефекту.

Розширюваність

Виправлено помилку, через яку Service, що посилається на waypoint в іншому просторі імен, не мав ресурсу Telemetry для всього простору імен, включеного до його конфігурації. (Тікет #60665)
Виправлено помилку, через яку WasmPlugin у просторі імен застосунку, що націлюється на Service через targetRefs, спричиняв циклічний перезапуск проксі waypoint під час запуску. Шлях LDS правильно включав втулок для waypoint, але шлях пошуку ECDS відхиляв його як міжпросторовий, залишаючи Envoy в очікуванні ресурсу, який ніколи не надійде. (Тікет #60530)

Встановлення

Оновлено надбудову Kiali до версії v2.26.0.
Додано змінні середовища ZTUNNEL_RESOURCE_CPU_LIMIT і ZTUNNEL_RESOURCE_CPU_REQUEST до DaemonSet ztunnel, заповнені з налаштованих resources.limits.cpu / resources.requests.cpu, коли вони встановлені. ztunnel використовує їх для виведення кількості робочих потоків з урахуванням процесора.
Додано поле Helm terminationMessagePolicy для контейнера istiod (pilot), що дозволяє налаштовувати спосіб заповнення повідомлень про завершення.
Додано поля dnsPolicy і dnsConfig до чарту Helm шлюзу для користувацької конфігурації DNS у середовищах з нестандартними вимогами до DNS.
Додано прапорець -o/--output до istioctl manifest generate, який записує згенерований маніфест у файл замість stdout. Це дозволяє уникнути покладання на перенаправлення оболонки, що зручно для автоматизації та обовʼязково в середовищах, де оболонка недоступна (наприклад, посилені образи istioctl, які постачаються без неї).
Додано values.global.readerServiceAccount з полями name і namespace для привʼязки ClusterRole istio-reader до користувацького облікового запису служби. Коли встановлено, типовий istio-reader-service-account не створюється, а ClusterRoleBinding посилається на вказаний обліковий запис служби. Встановлення global.enableReaderRBAC у false придушує ClusterRole і ClusterRoleBinding istio-reader незалежно від налаштувань readerServiceAccount.
Виправлено проблему, через яку контейнер istio-init використовував неправильний образ, коли global.proxy_init.image і global.proxy.image були налаштовані по-різному. (Тікет #59066)
Виправлено несумісність тому робочого сокета waypoint і kube-gateway з конфігурацією драйвера SPIRE CSI. (Тікет #60108)
Виправлено рендеринг чарту Helm, коли global.istioNamespace або простір імен випуску складається лише з цифр (наприклад, 1234). Поля просторів імен у відрендерених маніфестах тепер у лапках, щоб парсери YAML трактували їх як рядки, а не числа. (Тікет #60239)

istioctl

Додано підтримку відображення версій у istioctl remote-clusters.
Додано попередження istioctl analyze (IST0177) для випадків, коли кілька ресурсів ServiceEntry визначають той самий хост і порт із конфліктуючими протоколами. (Тікет #60447)
Додано перевірку istioctl analyze IST0176, яка позначає CRD Gateway API, встановлені у версії, нижчій за мінімально необхідну для поточної версії Istio. Ресурси, що підтримуються такими CRD, мовчки відфільтровуються istiod, що раніше робило поломку TLS passthrough після оновлення до Istio 1.30 з застарілими CRD Gateway API важкою для виявлення.
Виправлено невдачу istioctl у виявленні istiod, коли Istio встановлено в просторі імен, відмінному від типового (не istio-system), з тегом версії. DefaultWatcher тепер будує очікуване імʼя вебхука на основі простору імен Istio, переданого через прапорець -i. (Тікет #60232)
Виправлено: команда istioctl tag remove не видаляла конфігурацію ValidatingWebhookConfiguration для istiod-default-validator під час видалення тегу стандартної редакції. (Тікет #60537)
Виправлено проблему, через яку значення --set маніфесту istioctl, що містять =, аналізувалися як некоректний ввід.