Registrér TCP-hoppet for den virksomheds-CONNECT-proxy i Istio

Brug ServiceEntry-mønstret for ekstern proxy i sidecar-tilstand til proxyllytteren, mens programmets proxyvalg og målautorisation holdes adskilt.

For en arbejdsbyrde, der allerede vælger en virksomheds-CONNECT-proxy, ser sidecar'en en forbindelse til den lytter. Registrér første-hop-ruten som TCP efter det dokumenterede sidecar-mønster for ekstern proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Erstat IP-adressen og porten med proxys rigtige endepunkt. Dette eksempel matcher TCP efter adresse; hosts vælger ikke et krypteret websted inde i tunnelen.

Programmet har stadig brug for sit understøttede proxy-input, f.eks. HTTPS_PROXY=http://203.0.113.10:3128 til en kompatibel klient. En ServiceEntry får ikke et ukonfigureret program til at sende proxyanmodninger.

Registrér denne proxyrute i stedet for hvert websted, den senere tunnelerer til. Den videre proxy åbner den videre forbindelse og afgør, om kontoen og det ønskede mål er tilladte. Mesh-tilladelse til det første TCP-hop giver hverken den proxyautorisation eller en rutevalgsinstruks til programmet.

Relaterede artikler