Nasměrujte upstream TLS kontext Envoy na jeho CA svazek v kontejneru

Pro TLS iniciované dynamickým forward-proxy clusterem nakonfigurujte trusted_ca na tomto clusteru a zachovejte ověřování SAN cíle.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Sloučte to s konfigurací dynamického forward-proxy clusteru. Schválená cesta ke svazku musí být čitelná běžícím procesem Envoy. V Kubernetes zkontrolujte připojený soubor uvnitř kontejneru; certifikát nainstalovaný pouze na pracovním uzlu jej neposkytuje.

Zahrňte požadovanou CA prostřednictvím procesu důvěryhodného materiálu nasazení a ověřte, že cíl poskytuje potřebné zprostředkující certifikáty. Změny aplikujte pomocí zvoleného mechanismu konfigurace nebo aktualizace tajemství.

Dokumentované nastavení dynamického forward-proxy TLS poskytuje SNI a ověření SAN názvu hostitele pro přeloženého hostitele. Tuto kontrolu identity zachovejte vedle validace řetězce.

Úspěšný požadavek wget může použít jiný zdroj důvěry. Tento vstup pokrývá TLS pocházející z Envoy; v běžném CONNECT relé zůstává aplikace klientem TLS, který validuje cíl.

Související články