ثبت گام TCP پروکسی CONNECT سازمانی در Istio

برای شنونده پروکسی از الگوی ServiceEntry پروکسی خارجی در حالت sidecar استفاده کنید و انتخاب پروکسی توسط برنامه و مجوز مقصد را جدا نگه دارید.

برای باری که از قبل یک پروکسی CONNECT سازمانی انتخاب می‌کند، sidecar اتصالی به آن شنونده می‌بیند. مسیر گام اول را به‌صورت TCP در الگوی مستند پروکسی خارجی sidecar ثبت کنید:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

IP و پورت را با نقطه پایانی واقعی پروکسی جایگزین کنید. این نمونه TCP را بر اساس نشانی تطبیق می‌دهد؛ hosts وب‌سایت رمزگذاری‌شده‌ای درون تونل انتخاب نمی‌کند.

برنامه هنوز به ورودی پروکسی پشتیبانی‌شده خود نیاز دارد، مانند HTTPS_PROXY=http://203.0.113.10:3128 برای یک کلاینت سازگار. ServiceEntry باعث نمی‌شود برنامه‌ای که پیکربندی نشده درخواست‌های پروکسی بفرستد.

این مسیر پروکسی را ثبت کنید، نه هر وب‌سایتی را که بعداً از آن تونل می‌شود. پروکسی پیشرو اتصال بعدی را باز می‌کند و تصمیم می‌گیرد که آیا حساب و مقصد درخواستی مجاز هستند. مجوز mesh برای نخستین گام TCP نه آن مجوز پروکسی را می‌دهد و نه دستور انتخاب مسیر را برای برنامه.

مقالات مرتبط