Ուղղեք Envoy-ի upstream TLS կոնտեքստը կոնտեյների ներսում գտնվող CA փաթեթին

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Միավորեք սա դինամիկ forward-proxy կլաստերի կոնֆիգուրացիայի հետ։ Հաստատված փաթեթի ուղին պետք է ընթեռնելի լինի աշխատող Envoy գործընթացի համար։ Kubernetes-ում ստուգեք կոնտեյների ներսում տեղադրված ֆայլը. միայն աշխատանքային հանգույցում տեղադրված վկայականը դա չի ապահովում։

Ներառեք պահանջվող CA-ն տեղակայման վստահության նյութերի գործընթացի միջոցով և հաստատեք, որ նպատակակետը տրամադրում է անհրաժեշտ միջանկյալ վկայականները։ Կիրառեք փոփոխությունները ընտրված կոնֿիգուրացիայի կամ գաղտնիքների թարմացման մեխանիզմի միջոցով։

Փաստաթղթավորված դինամիկ forward-proxy TLS կարգավորումը տրամադրում է SNI և հոսթանվան SAN ստուգում լուծված հոսթի համար։ Պահեք այդ ինքնության ստուգումը շղթայի վավերացման կողքին։

Հաջող wget հարցումը կարող է օգտագործել վստահության այլ աղբյուր։ Այս մուտքը ընդգրկում է Envoy-ից բխող TLS-ը. սովորական CONNECT ռելեում հավելվածը մնում է TLS հաճախորդը, որը վավերացնում է նպատակակետը։