Den TCP-Hop des Unternehmens-CONNECT-Proxys in Istio registrieren

Nutzen Sie das ServiceEntry-Muster für einen externen Proxy im Sidecar-Modus für den Proxy-Listener, während Proxyauswahl der Anwendung und Zielautorisierung getrennt bleiben.

Bei einer Workload, die bereits einen Unternehmens-CONNECT-Proxy auswählt, sieht der Sidecar eine Verbindung zu diesem Listener. Registrieren Sie die First-Hop-Route als TCP nach dem dokumentierten Sidecar-Muster für externe Proxys:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Ersetzen Sie die IP und den Port durch den tatsächlichen Proxy-Endpunkt. Dieses Beispiel ordnet TCP nach Adresse zu; hosts wählt keine verschlüsselte Website innerhalb des Tunnels aus.

Die Anwendung benötigt weiterhin ihre unterstützte Proxy-Eingabe, etwa HTTPS_PROXY=http://203.0.113.10:3128 für einen kompatiblen Client. Ein ServiceEntry veranlasst eine nicht konfigurierte Anwendung nicht dazu, Proxy-Anfragen zu senden.

Registrieren Sie diese Proxy-Route statt jeder Website, zu der später getunnelt wird. Der Forward-Proxy öffnet die weitere Verbindung und entscheidet, ob Konto und angefragtes Ziel zulässig sind. Die Mesh-Berechtigung für den ersten TCP-Hop liefert weder diese Proxy-Autorisierung noch eine Routenwahl-Anweisung für die Anwendung.

Ähnliche Artikel