Punta il contesto TLS upstream di Envoy al suo bundle CA nel container

Per il TLS originato da un cluster proxy forward dinamico, configura trusted_ca su quel cluster mantenendo la verifica SAN della destinazione.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Unisci questo alla configurazione del cluster proxy forward dinamico. Il percorso del bundle approvato deve essere leggibile dal processo Envoy in esecuzione. In Kubernetes, ispeziona il file montato all'interno del container; un certificato installato solo sul nodo worker non lo fornisce.

Includi la CA richiesta tramite il processo dei materiali di fiducia del deployment e conferma che la destinazione fornisca i certificati intermedi necessari. Applica le modifiche tramite il meccanismo di configurazione o di aggiornamento dei segreti scelto.

La configurazione TLS documentata per il proxy forward dinamico fornisce la verifica SNI e SAN del nome host per l'host risolto. Mantieni quel controllo di identità accanto alla validazione della catena.

Una richiesta wget riuscita può usare un'altra fonte di fiducia. Questo input copre il TLS originato da Envoy; in un semplice relè CONNECT, l'applicazione resta il client TLS che convalida la destinazione.

Articoli correlati