Daftarkan Hop TCP Proxy CONNECT Perusahaan di Istio

Gunakan pola ServiceEntry proxy eksternal mode sidecar untuk listener proxy, sementara pemilihan proxy aplikasi dan otorisasi tujuan tetap terpisah.

Untuk workload yang sudah memilih proxy CONNECT perusahaan, sidecar melihat koneksi ke listener tersebut. Daftarkan rute hop pertama sebagai TCP sesuai pola proxy eksternal sidecar yang didokumentasikan:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Ganti IP dan port dengan endpoint proxy sebenarnya. Contoh ini mencocokkan TCP berdasarkan alamat; hosts tidak memilih situs web terenkripsi di dalam tunnel.

Aplikasi tetap memerlukan input proxy yang didukungnya, misalnya HTTPS_PROXY=http://203.0.113.10:3128 untuk klien yang kompatibel. ServiceEntry tidak membuat aplikasi yang belum dikonfigurasi mengirim permintaan proxy.

Daftarkan rute proxy ini, bukan setiap situs web yang nantinya dilewati tunnel. Proxy penerus membuka koneksi berikutnya dan memutuskan apakah akun dan tujuan yang diminta diizinkan. Izin mesh untuk hop TCP pertama tidak memberikan otorisasi proxy itu maupun instruksi pemilihan rute kepada aplikasi.

Artikel terkait