Зарэгістраваць TCP-пераход карпаратыўнага CONNECT-проксі ў Istio

Выкарыстоўвайце шаблон ServiceEntry знешняга проксі ў рэжыме sidecar для слухача проксі, пакідаючы выбар проксі ў праграме і аўтарызацыю мэты асобна.

Для працоўнай нагрузкі, якая ўжо выбрала карпаратыўны CONNECT-проксі, sidecar бачыць злучэнне з гэтым слухачом. Зарэгіструйце маршрут першага пераходу як TCP у апісаным шаблоне знешняга проксі sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Замяніце IP і порт на фактычную канчатковую кропку проксі. Гэты прыклад супастаўляе TCP па адрасе; hosts не выбірае зашыфраваны сайт унутры тунеля.

Праграме ўсё яшчэ патрэбны яе падтрыманы ўвод проксі, напрыклад HTTPS_PROXY=http://203.0.113.10:3128 для сумяшчальнага кліента. ServiceEntry не прымушае ненастроеную праграму адпраўляць проксі-запыты.

Рэгіструйце гэты маршрут проксі, а не кожны сайт, праз які ён пазней тунелюе. Прамы проксі адкрывае далейшае злучэнне і вырашае, ці дазволены ўліковы запіс і запытаная мэта. Дазвол mesh на першы TCP-пераход не дае ні гэтай аўтарызацыі проксі, ні інструкцыі выбару маршруту для праграмы.

Падобныя артыкулы