כוונו את הקשר ה-upstream TLS של Envoy לחבילת ה-CA שבתוך הקונטיינר

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

מזגו זאת עם תצורת האשכול של הפרוקסי הקדמי הדינמי. נתיב החבילה המאושר חייב להיות קריא לתהליך Envoy הפועל. ב-Kubernetes, בדקו את הקובץ המורכב בתוך הקונטיינר; תעודה המותקנת רק על צומת העבודה אינה מספקת אותו.

כללו את ה-CA הנדרש באמצעות תהליך חומרי האמון של הפריסה, ואשרו שהיעד מספק את תעודות הביניים הנדרשות. החילו שינויים באמצעות מנגנון התצורה או עדכון הסודות שנבחר.

תצורת ה-TLS המתועדת של פרוקסי קדמי דינמי מספקת אימות SNI ו-SAN של שם המארח עבור המארח שנפתר. שמרו על בדיקת הזהות הזו לצד אימות השרשרת.

בקשת wget מוצלחת יכולה להשתמש במקור אמון אחר. קלט זה מכסה TLS שמקורו ב-Envoy; בממסר CONNECT רגיל, היישום נשאר לקוח ה-TLS שמאמת את היעד.