Registri la TCP-salt de la entreprena CONNECT-prokurilo en Istio

Uzu la ŝablonon ServiceEntry por ekstera prokurilo en sidecar-reĝimo por la prokurila aŭskultilo, dum la prokurila elekto de la aplikaĵo kaj la celrajtigo restas apartaj.

Por laborŝarĝo jam elektanta entreprenan CONNECT-prokurilon, la sidecar vidas konekton al tiu aŭskultilo. Registru la unuan saltan vojon kiel TCP laŭ la dokumentita sidecar-ŝablono por ekstera prokurilo:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Anstataŭigu la IP kaj la pordon per la reala finpunkto de la prokurilo. Ĉi tiu ekzemplo kongruigas TCP laŭ adreso; hosts ne elektas ĉifritan retejon ene de la tunelo.

La aplikaĵo ankoraŭ bezonas sian subtenatan prokurilan enigon, ekzemple HTTPS_PROXY=http://203.0.113.10:3128 por kongrua kliento. ServiceEntry ne igas nekonfiguritan aplikaĵon sendi prokurilajn petojn.

Registru ĉi tiun prokurilan vojon anstataŭ ĉiun retejon al kiu ĝi poste tunelos. La antaŭa prokurilo malfermas la sekvan konekton kaj decidas ĉu la konto kaj la petata celo estas permesitaj. Mesh-permeso por la unua TCP-salto nek donas tiun prokurilan rajtigon nek voj-elektan instrukciojn al la aplikaĵo.

Rilataj artikoloj