Envoy-un yuxarı axın TLS kontekstini konteynerdəki CA paketinə yönəldin

Dinamik forvard-proksi klasterinin başlatdığı TLS üçün həmin klasterdə trusted_ca qurulun, təyinat SAN yoxlaması isə qorunsun.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Bunu dinamik forvard-proksi klasterinin konfiqurasiyası ilə birləşdirin. Təsdiqlənmiş paket yolu işləyən Envoy prosesi tərəfindən oxuna bilməlidir. Kubernetes-də konteynerin içindəki quraşdırılmış faylı yoxlayın; yalnız işçi nodda quraşdırılmış sertifikat bunu təmin etmir.

Tələb olunan CA-nı yerləşdirmənin etibarlılıq materialı prosesi vasitəsilə daxil edin və təyinatın lazımi ara sertifikatları təqdim etdiyini təsdiqləyin. Dəyişiklikləri seçilmiş konfiqurasiya və ya sirr yeniləmə mexanizmi ilə tətbiq edin.

Sənədləşdirilmiş dinamik forvard-proksi TLS qurulumu həll olunmuş host üçün SNI və host adı SAN yoxlaması təmin edir. Bu kimlik yoxlamasını zəncir doğrulaması ilə birlikdə saxlayın.

Uğurlu wget sorğusu başqa etibarlılıq mənbəyindən istifadə edə bilər. Bu giriş Envoy-dan gələn TLS-i əhatə edir; adi CONNECT ötürücüsündə tətbiq təyinatı yoxlayan TLS müştərisi olaraq qalır.

Əlaqəli məqalələr