Envoy의 업스트림 TLS 컨텍스트를 컨테이너 내 CA 번들로 지정

동적 포워드 프록시 클러스터가 시작하는 TLS의 경우 해당 클러스터에 trusted_ca를 구성하고 대상 SAN 검증을 유지합니다.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

이를 동적 포워드 프록시 클러스터의 구성과 병합합니다. 승인된 번들 경로는 실행 중인 Envoy 프로세스가 읽을 수 있어야 합니다. Kubernetes에서는 컨테이너 내부에 마운트된 파일을 확인하십시오. 워커 노드에만 설치된 인증서로는 이를 제공하지 않습니다.

필요한 CA를 배포의 트러스트 자료 절차를 통해 포함하고, 대상이 필요한 중간 인증서를 제공하는지 확인합니다. 선택한 구성 또는 시크릿 업데이트 메커니즘을 통해 변경 사항을 적용합니다.

문서화된 동적 포워드 프록시 TLS 설정은 확인된 호스트에 대해 SNI 및 호스트 이름 SAN 검증을 제공합니다. 해당 ID 검사를 체인 검증과 함께 유지하십시오.

성공한 wget 요청은 다른 신뢰 소스를 사용할 수 있습니다. 이 입력은 Envoy에서 시작되는 TLS를 다룹니다. 일반 CONNECT 릴레이에서는 애플리케이션이 대상을 검증하는 TLS 클라이언트로 남습니다.

관련 글