Регистриране на TCP прехода на корпоративния CONNECT прокси в Istio

Използвайте модела ServiceEntry за външен прокси в режим sidecar за слушателя на прокси, като оставите избора на прокси от приложението и оторизацията на целта отделно.

За работно натоварване, което вече избира корпоративен CONNECT прокси, sidecar-ът вижда връзка към този слушател. Регистрирайте маршрута на първия преход като TCP по документирания модел за външен прокси в режим sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Заменете IP адреса и порта с действителната крайна точка на проксито. Този пример съпоставя TCP по адрес; hosts не избира криптиран сайт вътре в тунела.

Приложението все още се нуждае от своята поддържана прокси настройка, например HTTPS_PROXY=http://203.0.113.10:3128 за съвместим клиент. ServiceEntry не кара неконфигурирано приложение да изпраща прокси заявки.

Регистрирайте този маршрут на проксито, а не всеки сайт, през който то по-късно тунелира. Предното прокси отваря следващата връзка и решава дали акаунтът и заявената дестинация са разрешени. Разрешението на mesh за първия TCP преход не дава нито тази прокси оторизация, нито инструкция за избор на маршрут на приложението.

Подобни статии