Apunteu el context TLS d'origen d'Envoy al paquet CA dins del contenidor

Per al TLS originat per un clúster de proxy directe dinàmic, configureu trusted_ca en aquest clúster i manteniu la verificació SAN de la destinació.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Combineu això amb la configuració del clúster de proxy directe dinàmic. El camí del paquet aprovat ha de ser llegible pel procés Envoy en execució. A Kubernetes, inspeccioneu el fitxer muntat dins del contenidor; un certificat instal·lat només al node de treball no el proporciona.

Incloeu el CA necessari mitjançant el procés de material de confiança del desplegament i confirmeu que la destinació subministra els certificats intermedis necessaris. Apliqueu els canvis mitjançant el mecanisme de configuració o d'actualització de secrets seleccionat.

La configuració documentada de TLS de proxy directe dinàmic proporciona SNI i verificació SAN del nom d'amfitrió per a l'amfitrió resolt. Manteniu aquesta comprovació d'identitat al costat de la validació de la cadena.

Una sol·licitud wget correcta pot utilitzar una altra font de confiança. Aquesta entrada cobreix el TLS originat per Envoy; en un relé CONNECT simple, l'aplicació continua sent el client TLS que valida la destinació.

Articles relacionats