Registrare l'hop TCP del proxy CONNECT aziendale in Istio

Usate il pattern ServiceEntry per proxy esterno in modalità sidecar per il listener del proxy, lasciando separati la scelta del proxy da parte dell'applicazione e l'autorizzazione della destinazione.

Per un carico di lavoro che seleziona già un proxy CONNECT aziendale, il sidecar vede una connessione a quel listener. Registrate la rotta del primo hop come TCP secondo il pattern documentato del proxy esterno in modalità sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Sostituite l'IP e la porta con l'endpoint reale del proxy. Questo esempio associa TCP per indirizzo; hosts non sceglie un sito web cifrato all'interno del tunnel.

L'applicazione necessita ancora del proprio input proxy supportato, ad esempio HTTPS_PROXY=http://203.0.113.10:3128 per un client compatibile. Un ServiceEntry non fa sì che un'applicazione non configurata invii richieste proxy.

Registrate questa rotta proxy invece di ogni sito web verso cui esegue poi il tunnel. Il proxy inoltrante apre la connessione successiva e decide se l'account e la destinazione richiesta sono consentiti. L'autorizzazione della mesh per il primo hop TCP non fornisce né tale autorizzazione proxy né un'istruzione di selezione della rotta all'applicazione.

Articoli correlati