Arahkan konteks TLS upstream Envoy ke bundel CA di dalam kontainer

Untuk TLS yang dimulai oleh kluster forward-proxy dinamis, konfigurasikan trusted_ca pada kluster tersebut sambil mempertahankan verifikasi SAN tujuan.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Gabungkan ini dengan konfigurasi kluster forward-proxy dinamis. Jalur bundel yang disetujui harus dapat dibaca oleh proses Envoy yang berjalan. Di Kubernetes, periksa file yang dipasang di dalam kontainer; sertifikat yang dipasang hanya pada node pekerja tidak menyediakannya.

Sertakan CA yang diperlukan melalui proses materi kepercayaan deployment, dan pastikan tujuan menyediakan sertifikat perantara yang diperlukan. Terapkan perubahan melalui mekanisme konfigurasi atau pembaruan rahasia yang dipilih.

Pengaturan TLS forward-proxy dinamis yang didokumentasikan menyediakan verifikasi SNI dan SAN nama host untuk host yang telah diresolusikan. Pertahankan pemeriksaan identitas itu bersama validasi rantai.

Permintaan wget yang berhasil dapat menggunakan sumber kepercayaan lain. Masukan ini mencakup TLS yang berasal dari Envoy; dalam relai CONNECT biasa, aplikasi tetap menjadi klien TLS yang memvalidasi tujuan.

Artikel terkait