Suuntaa Envoyn ylösvirran TLS-konteksti kontin sisäiseen CA-nippuun

Dynaamisen forward-proxy-klusterin käynnistämälle TLS:lle määritä trusted_ca kyseiseen klusteriin ja säilytä kohteen SAN-varmennus.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Yhdistä tämä dynaamisen forward-proxy-klusterin kokoonpanoon. Hyväksytyn nipun polun on oltava käynnissä olevan Envoy-prosessin luettavissa. Tarkista Kubernetesissa kontin sisään liitetty tiedosto; vain työntekijäsolmuun asennettu varmenne ei tarjoa sitä.

Sisällytä tarvittava CA käyttöönoton luottamusmateriaaliprosessin kautta ja varmista, että kohde toimittaa tarvittavat välivarmenteet. Toteuta muutokset valitulla kokoonpano- tai salaisuuksien päivitysmekanismilla.

Dokumentoitu dynaaminen forward-proxy-TLS-asetus tarjoaa SNI- ja isäntänimen SAN-varmennuksen ratkaistulle isännälle. Pidä tämä identiteettitarkistus ketjun validoinnin rinnalla.

Onnistunut wget-pyyntö voi käyttää toista luottamuslähdettä. Tämä syöte kattaa Envoysta peräisin olevan TLS:n; tavallisessa CONNECT-välityksessä sovellus pysyy TLS-asiakkaana, joka validoi kohteen.

Aiheeseen liittyvät artikkelit