Suuna Envoy ülemvoolu TLS-kontekst konteineris olevale CA-paketile

Dünaamilise forward-proxy klastri algatatud TLS-i puhul seadistage trusted_ca sellel klastril, säilitades sihtkoha SAN-i kontrolli.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Ühendage see dünaamilise forward-proxy klastri konfiguratsiooniga. Kinnitatud paketi tee peab olema töötava Envoy protsessi jaoks loetav. Kubernetesis uurige konteinerisse paigaldatud faili; ainult töösõlme paigaldatud sertifikaat ei paku seda.

Lisage vajalik CA juurutuse usaldusmaterjali protsessi kaudu ja kinnitage, et sihtkoht pakub vajalikke vahesertifikaate. Rakendage muudatused valitud konfiguratsiooni- või saladuste värskendamise mehhanismi kaudu.

Dokumenteeritud dünaamilise forward-proxy TLS-i seadistus pakub lahendatud hosti jaoks SNI ja hostinime SAN-i kontrolli. Hoidke seda identiteedikontrolli koos ahela valideerimisega.

Edukas wget-päring võib kasutada teist usaldusallikat. See sisend hõlmab Envoyst lähtuvat TLS-i; tavalises CONNECT-relees jääb rakendus TLS-kliendiks, mis valideerib sihtkoha.

Seotud artiklid