Envoy-тың upstream TLS контекстін контейнер ішіндегі CA бумасына бағыттаңыз

Динамикалық forward-proxy кластері бастаған TLS үшін сол кластерде trusted_ca конфигурациялап, мақсаттың SAN тексеруін сақтаңыз.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Мұны динамикалық forward-proxy кластерінің конфигурациясымен біріктіріңіз. Бекітілген бума жолы жұмыс істеп тұрған Envoy процесіне оқылатын болуы керек. Kubernetes-те контейнер ішіндегі орнатылған файлды тексеріңіз; тек жұмыс түйінінде орнатылған сертификат оны қамтамасыз етпейді.

Қажетті CA-ны орналастырудың сенім материалы процесі арқылы қосыңыз және мақсат қажетті аралық сертификаттарды ұсынатынын растаңыз. Өзгерістерді таңдалған конфигурация немесе құпия жаңарту механизмі арқылы қолданыңыз.

Құжатталған динамикалық forward-proxy TLS параметрі шешілген хост үшін SNI және хост атауының SAN тексеруін ұсынады. Бұл сәйкестік тексеруін тізбекті валидациямен бірге сақтаңыз.

Сәтті wget сұрауы басқа сенім көзін пайдалануы мүмкін. Бұл енгізу Envoy-дан шығатын TLS-ті қамтиды; қарапайым CONNECT релесінде қолданба мақсатты тексеретін TLS клиенті болып қалады.

Қатысты мақалалар