Enregistrer le saut TCP du proxy CONNECT d'entreprise dans Istio

Utilisez le modèle ServiceEntry de proxy externe en mode sidecar pour l'écouteur du proxy, tout en gardant séparés le choix du proxy par l'application et l'autorisation de la destination.

Pour une charge de travail qui sélectionne déjà un proxy CONNECT d'entreprise, le sidecar voit une connexion vers cet écouteur. Enregistrez la route du premier saut en TCP selon le modèle documenté de proxy externe en mode sidecar :

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Remplacez l'adresse IP et le port par le point de terminaison réel du proxy. Cet exemple associe TCP par adresse ; hosts ne choisit pas un site chiffré à l'intérieur du tunnel.

L'application a toujours besoin de son entrée proxy prise en charge, par exemple HTTPS_PROXY=http://203.0.113.10:3128 pour un client compatible. Un ServiceEntry ne fait pas envoyer de requêtes proxy à une application non configurée.

Enregistrez cette route proxy plutôt que chaque site vers lequel elle tunnelise ensuite. Le proxy direct ouvre la connexion suivante et décide si le compte et la destination demandée sont autorisés. L'autorisation du maillage pour le premier saut TCP ne fournit ni cette autorisation proxy ni consigne de sélection de route à l'application.

Articles similaires