Beindu upstream TLS-samhengi Envoy að CA-bunkanum í gámnum

Fyrir TLS sem dynamískt forward-proxy klasa byrjar, stilltu trusted_ca á þeim klasa og haltu SAN-sannprófun áfangastaðar.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Sameinaðu þetta stillingum hins dynamíska forward-proxy klasa. Slóð samþykktu bunkans verður að vera læsileg fyrir keyrandi Envoy-ferlið. Í Kubernetes skaltu skoða uppsettu skrána inni í gámnum; skírteini sem er aðeins sett upp á vinnuhnútnum veitir það ekki.

Hafðu nauðsynlega CA með í gegnum traustefnisferli uppsetningarinnar og staðfestu að áfangastaðurinn veiti nauðsynleg milliskírteini. Beittu breytingum í gegnum valda stillingar- eða leyndarmálauppfærsluaðferð.

Skjalfesta dynamíska forward-proxy TLS-uppsetningin veitir SNI- og hýsilnafns-SAN-sannprófun fyrir leysta hýsilinn. Haltu þeirri auðkenningarskoðun við hlið keðjusannprófunar.

Árangursrík wget-beiðni getur notað aðra traustaheimild. Þetta inntak nær yfir TLS sem kemur frá Envoy; í venjulegri CONNECT-endurvarp er forritið áfram TLS-biðlarinn sem sannprófar áfangastaðinn.

Tengdir greinar