Registrar el salto TCP del proxy CONNECT corporativo en Istio

Use el patrón ServiceEntry de proxy externo en modo sidecar para el receptor del proxy, dejando separadas la selección de proxy de la aplicación y la autorización del destino.

Para una carga de trabajo que ya selecciona un proxy CONNECT corporativo, el sidecar ve una conexión a ese receptor. Registre la ruta del primer salto como TCP según el patrón documentado de proxy externo en modo sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Sustituya la IP y el puerto por el extremo real del proxy. Este ejemplo hace coincidir TCP por dirección; hosts no elige un sitio web cifrado dentro del túnel.

La aplicación sigue necesitando su entrada de proxy compatible, como HTTPS_PROXY=http://203.0.113.10:3128 para un cliente compatible. Un ServiceEntry no hace que una aplicación sin configurar envíe solicitudes de proxy.

Registre esta ruta de proxy en lugar de cada sitio web al que luego tuneliza. El proxy de reenvío abre la conexión posterior y decide si la cuenta y el destino solicitado están permitidos. El permiso de la malla para el primer salto TCP no aporta esa autorización del proxy ni instrucciones de selección de ruta a la aplicación.

Artículos relacionados