Wys Envoy se upstream-TLS-konteks na sy CA-bundel in die houer

Vir TLS wat deur 'n dinamiese forward-proxy-kluster begin word, stel trusted_ca op daardie kluster in en behou terselfdertyd bestemmings-SAN-verifikasie.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Voeg dit by die konfigurasie van die dinamiese forward-proxy-kluster. Die goedgekeurde bundelpad moet deur die lopende Envoy-proses gelees kan word. Ondersoek in Kubernetes die gemonteerde lêer binne die houer; 'n sertifikaat wat slegs op die worker-node geïnstalleer is, voorsien dit nie.

Sluit die vereiste CA deur die ontplooiing se trust-materiaalproses in, en bevestig dat die bestemming die nodige tussenliggende sertifikate verskaf. Pas veranderinge toe deur die gekose konfigurasie- of geheime-opdateringsmeganisme.

Die gedokumenteerde dinamiese forward-proxy-TLS-opstelling verskaf SNI- en gasheernaam-SAN-verifikasie vir die opgeloste gasheer. Hou daardie identiteitskontrole saam met kettingvalidering.

'n Suksesvolle wget-versoek kan 'n ander vertrouensbron gebruik. Hierdie insette dek TLS wat van Envoy afkomstig is; in 'n gewone CONNECT-relais bly die toepassing die TLS-kliënt wat die bestemming valideer.

Verwante artikels