Richte den Upstream-TLS-Kontext von Envoy auf das CA-Bundle im Container

Konfiguriere für TLS, das von einem dynamischen Forward-Proxy-Cluster ausgeht, trusted_ca auf diesem Cluster und behalte die SAN-Prüfung des Ziels bei.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Führe dies mit der Konfiguration des dynamischen Forward-Proxy-Clusters zusammen. Der Pfad des freigegebenen Bundles muss für den laufenden Envoy-Prozess lesbar sein. Prüfe in Kubernetes die eingebundene Datei im Container; ein nur auf dem Worker-Node installiertes Zertifikat stellt sie nicht bereit.

Binde die erforderliche CA über den Trust-Material-Prozess des Deployments ein und bestätige, dass das Ziel die nötigen Zwischenzertifikate liefert. Wende Änderungen über den gewählten Konfigurations- oder Secret-Update-Mechanismus an.

Die dokumentierte TLS-Einrichtung für dynamische Forward-Proxys liefert SNI- und Hostnamen-SAN-Prüfung für den aufgelösten Host. Behalte diese Identitätsprüfung neben der Kettenvalidierung bei.

Eine erfolgreiche wget-Anfrage kann eine andere Vertrauensquelle nutzen. Diese Eingabe behandelt TLS, das von Envoy ausgeht; in einem einfachen CONNECT-Relay bleibt die Anwendung der TLS-Client, der das Ziel validiert.

Ähnliche Artikel