Yrityksen CONNECT-välityspalvelimen TCP-hypyn rekisteröinti Istioon

Käytä sidecar-tilan ulkoisen välityspalvelimen ServiceEntry-mallia välityspalvelimen kuuntelijalle ja pidä sovelluksen välityspalvelinvalinta ja kohteen valtuutus erillään.

Työkuormalle, joka jo valitsee yrityksen CONNECT-välityspalvelimen, sidecar näkee yhteyden kyseiseen kuuntelijaan. Rekisteröi ensimmäisen hypyn reitti TCP:nä dokumentoidussa sidecarin ulkoisen välityspalvelimen mallissa:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Korvaa IP-osoite ja portti välityspalvelimen todellisella päätepisteellä. Tämä esimerkki täsmää TCP:n osoitteen perusteella; hosts ei valitse salattua verkkosivustoa tunnelin sisällä.

Sovellus tarvitsee edelleen oman tuetun välityspalvelinasetuksensa, kuten HTTPS_PROXY=http://203.0.113.10:3128 yhteensopivalle asiakkaalle. ServiceEntry ei saa määrittämätöntä sovellusta lähettämään välityspalvelinpyyntöjä.

Rekisteröi tämä välityspalvelimen reitti sen sijaan, että rekisteröisit jokaisen verkkosivuston, johon se myöhemmin tunneloi. Eteenpäin välittävä palvelin avaa seuraavan yhteyden ja päättää, ovatko tili ja pyydetty kohde sallittuja. Mesh-lupa ensimmäiselle TCP-hypylle ei anna tuota välityspalvelinvaltuutusta eikä reitinvalintaohjetta sovellukselle.

Aiheeseen liittyvät artikkelit