Получилось настроить трафик через внешний прокси, так, чтобы поды не знали о прокси.
HTTP - работает нормально
HTTPS - ловится ошибка: "curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection"

Настройка:

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: proxy
spec:
  hosts:
  - proxy.external.ru
  ports:
  - number: 3128
    name: tcp
    protocol: TCP
  resolution: DNS
  location: MESH_EXTERNAL

---
apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: wikipedia-org
spec:
  hosts:
  - wikipedia.org
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  location: MESH_EXTERNAL 

---
apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: wikipedia-org-https
spec:
  hosts:
  - wikipedia.org
  ports:
  - number: 443
    name: https
    protocol: HTTPS
  resolution: DNS
  location: MESH_EXTERNAL

---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: wikipedia-org
  namespace: test
spec:
  hosts:
  - wikipedia.org
  gateways:
  - mesh
  http:
  - match:
    - gateways:
      - mesh
      port: 80
    route:
    - destination:
        host: proxy.external.ru
        port:
          number: 3128
  tls:
  - match:
    - gateways:
      - mesh
      port: 443
      sniHosts:
      - wikipedia.org
    route:
    - destination:
        host: proxy.external.ru
        port:
          number: 3128

Подскажите как ошибку серта пофиксить?

попробуй сделать отдельный без определения http вообще

Вообщем эта ошибка говорит о том что SNI не работает (криво работает)

В смысле? envoy ж смотрит че ты за хост передал не?

в прямом. у него прокся не умеет в https

https_proxy = HTTP://

И прокси туннель для curl'aна HTTPS работает

# env | grep proxy
http_proxy=http://proxy.external.ru:3128
https_proxy=http://proxy.external.ru:3128

# curl -v https://wikipedia.org
...
* Connected to proxy.external.ru (192.168.1.11) port 3128 (#0)
* Establish HTTP proxy tunnel to wikipedia.org:443
> CONNECT wikipedia.org:443 HTTP/1.1
> Host: wikipedia.org:443
...
< HTTP/1.1 200 OK
...

Вот с хост машины курл