Usmjerite Envoy-ov upstream TLS kontekst na njegov CA paket u kontejneru

Za TLS koji pokreće dinamički forward-proxy klaster, konfigurirajte trusted_ca na tom klasteru uz zadržavanje provjere SAN odredišta.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Spojite ovo s konfiguracijom dinamičkog forward-proxy klastera. Odobrena putanja paketa mora biti čitljiva pokrenutom Envoy procesu. U Kubernetesu pregledajte montiranu datoteku unutar kontejnera; certifikat instaliran samo na radnom čvoru to ne pruža.

Uključite potrebni CA kroz proces materijala povjerenja pri implementaciji i potvrdite da odredište pruža potrebne posredničke certifikate. Primijenite promjene kroz odabrani mehanizam konfiguracije ili ažuriranja tajni.

Dokumentirano dinamičko forward-proxy TLS podešavanje pruža SNI i provjeru SAN naziva hosta za razriješeni host. Zadržite tu provjeru identiteta uz validaciju lanca.

Uspješan wget zahtjev može koristiti drugi izvor povjerenja. Ovaj unos pokriva TLS koji potječe od Envoyja; u običnom CONNECT releju aplikacija ostaje TLS klijent koji validira odredište.

Povezani članci