Монолог длиной в неделю :)

а наружу оно же само должно, не?

до 1.1 надо был либо явно прописывать подсети куда можно, либо создавать ServiceEntry описывающие куда можно, причем если вы в ServiceEntry указал например "*.google.com" разрешенными то на каждый хост (apis.google.com, www.google.com и тп) надо было явно задать VirtualService (см выше)
в 1.1 можно VirtualService явно не задавать, плюс появилась опция "разрешить исходящий трафик" и она даже стоит по дефолту - что конечно сильно понизит порог вхождения в меш 🙂

но это не то, мне-то как раз нужно чтобы снаружы можно было
текушее поведение: вася -> nginx ingress -> service
хочу сделать: вася -> istio gateway -> {servicemesh / magic} -> service
ну или вообще как-то сервисмеш обогнуть 🙂
не то чтобы это прям мне надо, просто интересно было бы от ingress избавиться и делать все через одну сущность раз ее уже использую

ты хочешь далеть роутинг через istio на поды без sidecar'а чтоли? Вопрос непонятен

он хочет выкинуть ingress controller

и получать внешний трафик сразу на istio gateway

логично, черт возьми

Вы оба правы. Документация по istio тут вообще никакая. Думаю надо каждую сущность без сайдкара описывать в serviceentry и тогда роутинг заработает... потом проверю

че-то поговорить охота... у istio такая же проблема что и у k8s в целом имхо
ну вот разобрались как ставить k8s на bare metal, поставили стабильную версию istio, разобрались с сервисами и настроили cpu/memory, сделали deployment workflow... а дальше что?
люди остались теми же самыми и не хотят парадигму сдвигать в головах, существующие сервисы не переписать и даже близко 12fa не соответствуют... все зря? у кого какой опыт? кто согласен-несогласен?

и да, и нетт

если у тебя есть человек, который ручками напильником сервисы подпилит… ну, тогда проблемы нет

только это будет дорого, и это бас-фактор (а что если этот человек кря - кто будет дальше разбираться с проблемами истио?)

то есть востребован человек который и админ и программер (devops, простите за это слово 🙂 ), который  не только среду поднимет но и перепишет инфраструктуру под нее?

ну, если разрабы не готовы - то да

лучше бы, конечно, было бы, если разрабы были готовы сами к этому

сервисмеш это вообще больше для разрабов, я бы им на откуп отдал - по сути он должен решать как раз проблемы которые решают библиотеки: обзервабилити, рейтлимиты и прочее... исторически это делается на уровне бизнескода

и да, и нет

ты говоришь, будто опсам вся эта исттория не помогает

а это не так.