Apunte o contexto TLS ascendente de Envoy ao seu paquete de CA dentro do contedor

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Combine isto coa configuración do clúster de proxy directo dinámico. A ruta do paquete aprobado debe ser lexible polo proceso Envoy en execución. En Kubernetes, inspeccione o ficheiro montado dentro do contedor; un certificado instalado só no nodo de traballo non o proporciona.

Inclúa a CA necesaria mediante o proceso de material de confianza do despregamento e confirme que o destino fornece os certificados intermedios necesarios. Aplique os cambios mediante o mecanismo de configuración ou de actualización de segredos elixido.

A configuración documentada de TLS de proxy directo dinámico fornece SNI e verificación SAN do nome de host para o host resolto. Manteña esa comprobación de identidade xunto coa validación da cadea.

Unha solicitude wget correcta pode usar outra fonte de confianza. Esta entrada abrangue o TLS orixinado por Envoy; nun relé CONNECT simple, a aplicación segue a ser o cliente TLS que valida o destino.