# [Mode2 복구용] DestinationRule = TLS origination + outlierDetection.
#
#  DNS refresh는 liveness를 모른다(런북 §4). 죽은 IP 회피는 outlier detection이 담당.
#  STRICT_DNS에 죽은 IP가 섞였을 때, 연속 실패한 endpoint를 일시 eject 해 트래픽 유실을
#  줄이는 것을 43(무설정) 대비로 보여준다.
#
#  passthrough(L4)가 아니라 origination(L7)이므로, consecutive5xx/connect 실패 모두
#  판정에 쓸 수 있다. connectTimeout을 짧게 둬 죽은 IP를 빨리 실패 처리한다.
apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: gslb-tls-origination      # 43과 같은 이름 — 교체(apply)로 스왑
  namespace: dns-lab
spec:
  exportTo: ["."]
  host: gslb.lab.internal
  trafficPolicy:
    connectionPool:
      tcp: { connectTimeout: 1s }          # 죽은 IP connect 실패를 빨리 판정
    outlierDetection:
      consecutive5xxErrors: 3              # origination(L7)이라 5xx/connect 실패 모두 집계
      consecutiveGatewayErrors: 3
      interval: 5s
      baseEjectionTime: 30s
      maxEjectionPercent: 50               # 전멸 방지
      minHealthPercent: 0
    portLevelSettings:
      - port: { number: 443 }
        tls:
          mode: SIMPLE
          sni: gslb.lab.internal
          insecureSkipVerify: true