Registrace TCP skoku firemního CONNECT proxy v Istio

Pro naslouchací port proxy použijte vzor ServiceEntry externího proxy v režimu sidecar, přičemž volba proxy v aplikaci a autorizace cíle zůstávají oddělené.

U pracovní zátěže, která už volí firemní CONNECT proxy, vidí sidecar spojení na tento naslouchací port. Zaregistrujte trasu prvního skoku jako TCP podle dokumentovaného vzoru externího proxy v režimu sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Nahraďte IP adresu a port skutečným koncovým bodem proxy. Tento příklad páruje TCP podle adresy; hosts nevybírá šifrovaný web uvnitř tunelu.

Aplikace stále potřebuje své podporované nastavení proxy, například HTTPS_PROXY=http://203.0.113.10:3128 pro kompatibilního klienta. ServiceEntry nezpůsobí, že nekonfigurovaná aplikace odešle proxy požadavky.

Registrujte tuto trasu proxy, nikoli každý web, přes který později tuneluje. Dopředný proxy otevírá navazující spojení a rozhoduje, zda jsou účet a požadovaný cíl povoleny. Oprávnění mesh pro první TCP skok neposkytuje ani tuto autorizaci proxy, ani pokyn k volbě trasy pro aplikaci.

Související články