Rexistrar o salto TCP do proxy CONNECT corporativo en Istio

Use o patrón ServiceEntry de proxy externo en modo sidecar para o receptor do proxy, mantendo separadas a selección de proxy da aplicación e a autorización do destino.

Para unha carga de traballo que xa selecciona un proxy CONNECT corporativo, o sidecar ve unha conexión a ese receptor. Rexistre a ruta do primeiro salto como TCP segundo o patrón documentado de proxy externo en modo sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Substitúa o IP e o porto polo extremo real do proxy. Este exemplo fai coincidir TCP por enderezo; hosts non escolle un sitio web cifrado dentro do túnel.

A aplicación segue necesitando a súa entrada de proxy compatible, como HTTPS_PROXY=http://203.0.113.10:3128 para un cliente compatible. Un ServiceEntry non fai que unha aplicación sen configurar envíe solicitudes de proxy.

Rexistre esta ruta de proxy en lugar de cada sitio web ao que despois fai túnel. O proxy de reenvío abre a conexión seguinte e decide se a conta e o destino solicitado están permitidos. O permiso da malla para o primeiro salto TCP non achega esa autorización do proxy nin instrucións de selección de ruta á aplicación.

Artigos relacionados