Depurando uma Política de Tráfego do Istio que Não Funciona

Eu trabalharia de trás para frente a partir do sidecar, porque é ali que o roteamento realmente acontece. Primeiro, `istioctl proxy-config route` no pod que faz a chamada, filtrado pela porta de destino. Isso mostra a configuração de rota efetiva do Envoy e revela se o split 80/20 está de fato programado no proxy. Se a rota não estiver lá, o VirtualService não está sendo considerado de forma alguma — geralmente é um descompasso de namespace, gateway ou host. Em seguida, se a rota está lá mas apontando para um único subset, eu verifico os subsets do DestinationRule e os labels dos pods. `kubectl get pods --show-labels` e confirmo se `version: v2` está de fato nos pods v2. Um subset que não corresponde a nenhum pod não gera erro, ele simplesmente fica sem endpoints e o Envoy roteia para outro lugar. Depois disso, `istioctl proxy-config endpoints` para confirmar se o subset v2 tem endpoints reais. Se os endpoints estiverem vazios, isso confirma o descompasso de labels. Se tudo parecer certo, eu verifico se há um VirtualService concorrente — dois VirtualServices para o mesmo host com regras conflitantes podem produzir resultados surpreendentes, e a ordem importa. Eu também olharia os logs de acesso do sidecar para ver em qual cluster as requisições estão realmente caindo. E o `istioctl analyze` é bom para pegar erros de configuração óbvios antes de ir mais fundo.