Στρέψτε το upstream TLS context του Envoy στο CA bundle μέσα στο container

Για TLS που ξεκινά από δυναμικό cluster forward-proxy, ρυθμίστε το trusted_ca σε αυτό το cluster διατηρώντας την επαλήθευση SAN του προορισμού.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Συνδυάστε το με τη διαμόρφωση του δυναμικού cluster forward-proxy. Η διαδρομή του εγκεκριμένου bundle πρέπει να είναι αναγνώσιμη από τη διεργασία Envoy που εκτελείται. Στο Kubernetes, ελέγξτε το προσαρτημένο αρχείο μέσα στο container· ένα πιστοποιητικό εγκατεστημένο μόνο στον κόμβο εργασίας δεν το παρέχει.

Συμπεριλάβετε το απαιτούμενο CA μέσω της διαδικασίας υλικού εμπιστοσύνης της ανάπτυξης και επιβεβαιώστε ότι ο προορισμός παρέχει τα απαραίτητα ενδιάμεσα πιστοποιητικά. Εφαρμόστε αλλαγές μέσω του επιλεγμένου μηχανισμού διαμόρφωσης ή ενημέρωσης μυστικών.

Η τεκμηριωμένη ρύθμιση TLS δυναμικού forward-proxy παρέχει επαλήθευση SNI και SAN ονόματος κεντρικού υπολογιστή για τον επιλυμένο host. Διατηρήστε αυτόν τον έλεγχο ταυτότητας μαζί με την επικύρωση της αλυσίδας.

Ένα επιτυχημένο αίτημα wget μπορεί να χρησιμοποιήσει άλλη πηγή εμπιστοσύνης. Αυτή η είσοδος καλύπτει TLS που προέρχεται από το Envoy· σε ένα απλό relay CONNECT, η εφαρμογή παραμένει ο client TLS που επικυρώνει τον προορισμό.

Σχετικά άρθρα