Pwyntio cyd-destun TLS upstream Envoy at ei becyn CA yn y cynhwysydd

Ar gyfer TLS a gychwynnir gan glwstwr forward-proxy deinamig, ffurfweddwch trusted_ca ar y clwstwr hwnnw gan gadw dilysu SAN y gyrchfan.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Cyfunwch hyn â ffurfweddiad y clwstwr forward-proxy deinamig. Rhaid i'r llwybr pecyn a gymeradwywyd fod yn ddarllenadwy gan y broses Envoy sy'n rhedeg. Yn Kubernetes, archwiliwch y ffeil wedi'i mowntio y tu mewn i'r cynhwysydd; nid yw tystysgrif a osodwyd ar y nod gweithiwr yn unig yn darparu hynny.

Cynhwyswch y CA gofynnol trwy broses deunydd ymddiriedaeth y defnydd, a chadarnhewch fod y gyrchfan yn darparu'r tystysgrifau canolradd angenrheidiol. Cymhwyswch newidiadau trwy'r mecanwaith ffurfweddu neu ddiweddaru cyfrinachau a ddewiswyd.

Mae'r gosodiad TLS forward-proxy deinamig a ddogfennwyd yn darparu SNI a dilysu SAN enw gwesteiwr ar gyfer y gwesteiwr a ddatryswyd. Cadwch y gwiriad hunaniaeth hwnnw ochr yn ochr â dilysu cadwyn.

Gall cais wget llwyddiannus ddefnyddio ffynhonnell ymddiriedaeth arall. Mae'r mewnbwn hwn yn cwmpasu TLS sy'n tarddu o Envoy; mewn relái CONNECT plaen, yr ap sy'n parhau i fod y cleient TLS sy'n dilysu'r gyrchfan.

Erthyglau cysylltiedig