მიუთითეთ Envoy-ის upstream TLS კონტექსტი კონტეინერში არსებულ CA პაკეტზე

დინამიკური forward-proxy კლასტერიდან წამოწყებული TLS-ისთვის, კონფიგურირეთ trusted_ca ამ კლასტერზე და შეინარჩუნეთ დანიშნულების SAN შემოწმება.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

გააერთიანეთ ეს დინამიკური forward-proxy კლასტერის კონფიგურაციასთან. დამტკიცებული პაკეტის გზა უნდა იკითხებოდეს გაშვებული Envoy პროცესის მიერ. Kubernetes-ში შეამოწმეთ კონტეინერში ჩამონტაჟებული ფაილი; მხოლოდ სამუშაო კვანძზე დაყენებული სერტიფიკატი ამას არ უზრუნველყოფს.

შეიყვანეთ საჭირო CA განლაგების სანდო მასალის პროცესის მეშვეობით და დაადასტურეთ, რომ დანიშნულება უზრუნველყოფს საჭირო შუალედურ სერტიფიკატებს. ცვლილებები გამოიყენეთ არჩეული კონფიგურაციის ან საიდუმლოს განახლების მექანიზმით.

დოკუმენტირებული დინამიკური forward-proxy TLS კონფიგურაცია უზრუნველყოფს SNI და ჰოსტის სახელის SAN შემოწმებას გადაწყვეტილი ჰოსტისთვის. შეინარჩუნეთ ეს იდენტობის შემოწმება ჯაჭვის ვალიდაციასთან ერთად.

წარმატებულ wget მოთხოვნას შეუძლია სხვა სანდო წყაროს გამოყენება. ეს შეყვანა მოიცავს Envoy-იდან წარმოქმნილ TLS-ს; ჩვეულებრივ CONNECT რელეში აპლიკაცია რჩება TLS კლიენტად, რომელიც ამოწმებს დანიშნულებას.

დაკავშირებული სტატიები