Go微服务多实例部署需显式解决服务发现、DNS解析、mTLS策略对齐三件事：单集群用ClusterIP+DNS，跨集群必须用.global域名并启用istio-coredns-plugin，且PeerAuthentication和DestinationRule需全局统一配置。
Go 微服务在多实例部署下，通信不自动“互通”，必须显式解决服务发现、DNS 解析、mTLS 策略对齐这三件事。硬编码地址或改 http.Client 不解决问题，问题根子在 Service Mesh 控制平面和 DNS 层。
多实例 ≠ 自动服务发现
Go 进程启动多个副本（比如用 docker-compose scale 或 Kubernetes replicas: 3），只是起了多个相同镜像的 Pod，它们彼此不认识。Kubernetes 的 Service 对象提供 ClusterIP + DNS 名称（如 usersvc.default.svc.cluster.local），但仅限单集群内有效；跨节点或跨集群时，若没配好服务注册中心（如 Consul）或 Istio 的 Endpoint 同步机制，usersvc 的三个实例不会自动出现在对方的可用列表里。
- 现象：
http.Get("http://usersvc.default.svc.cluster.local:8080")在本地集群能通，换一个集群就报dial tcp: lookup usersvc.default.svc.cluster.local: no such host - 关键点：Kubernetes DNS 默认不解析其他集群的服务；Istio 的
ServiceEntry必须显式声明远端服务，且location: MESH_INTERNAL才能参与负载均衡 - 实操建议：
– 单集群多实例：确保 Deployment + Service 配置正确，用kubectl get endpoints -n default确认所有 Pod IP 已注入
– 多集群：不用.svc.cluster.local，改用.global后缀，并确认istio-coredns-plugin已启用
gRPC 调用必须走 .global 域名才能跨集群
Go 代码里用 grpc.Dial 连接服务时，目标地址写成 usersvc.default.svc.cluster.local:9000 只能在本集群生效。跨集群调用必须用 usersvc.default.svc.cluster.local.global，否则 CoreDNS 根本不会把请求转发给 istiod 的 DNS 服务器，grpc.Dial 会卡在 DNS 解析阶段。
- 错误示例：
conn, err := grpc.Dial("usersvc.default.svc.cluster.local:9000", ...)→ 解析失败或连到本集群假实例 - 正确写法：
conn, err := grpc.Dial("usersvc.default.svc.cluster.local.global:9000", ...) - 验证方式：
– 进 Pod 执行nslookup usersvc.default.svc.cluster.local.global，应返回远端集群的 ClusterIP
– 检查 Pod 的/etc/resolv.conf，第一行 DNS 必须是集群内 CoreDNS Service IP（如10.96.0.10），不是宿主机 DNS
mTLS 策略需跨集群统一配置
Istio 默认开启 STRICT mTLS，但 PeerAuthentication 和 DestinationRule 是按命名空间或网格级别作用的。如果只在一个集群配了 STRICT，另一个集群是 PERMISSIVE，跨集群调用就会因证书校验失败被拦截，表现为 403 Forbidden 或连接直接关闭，日志里看不到 Go 应用层错误，只有 istio-proxy 的 access log 显示 UC（Upstream connection error）。
立即学习“go语言免费学习笔记（深入）”；
- 常见误操作：在每个集群单独 install istiod，导致控制平面割裂，策略无法同步
- 正确做法：
– 全局只部署一个 istiod（主集群托管）
– 所有从集群只部署istio-cni和istio-proxy
– 统一配置PeerAuthentication（MeshPolicy 级别）和DestinationRule（带trafficPolicy.tls.mode: ISTIO_MUTUAL） - 调试命令：
istioctl proxy-config secret -n default usersvc-xxxxx查证书是否加载成功istioctl proxy-config cluster -n default usersvc-xxxxx | grep global确认远端服务端点已同步
多实例部署的通信问题，本质不是 Go 代码写得不对，而是基础设施层的 DNS、mTLS、服务发现三者没对齐。哪怕 grpc.Dial 参数全对，只要 CoreDNS 没把 .global 请求转给 istiod，或者两个集群的 PeerAuthentication mode 不一致，通信就断在中间件层——这点最容易被忽略，因为错误日志根本不出现在 Go 应用里。
