Istio에서 기업 CONNECT 프록시의 TCP 홉 등록하기

프록시 리스너에 사이드카 모드 외부 프록시 ServiceEntry 패턴을 사용하고, 애플리케이션의 프록시 선택과 대상 인가는 분리해 두십시오.

이미 기업 CONNECT 프록시를 선택하는 워크로드의 경우 사이드카는 해당 리스너로의 연결을 봅니다. 첫 번째 홉 경로를 TCP로, 문서화된 사이드카 외부 프록시 패턴에 따라 등록하십시오:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

IP와 포트를 실제 프록시 엔드포인트로 바꾸십시오. 이 예제는 주소로 TCP를 매칭하며, hosts는 터널 내부의 암호화된 웹사이트를 선택하지 않습니다.

애플리케이션에는 여전히 지원되는 프록시 입력이 필요합니다. 예를 들어 호환 클라이언트라면 HTTPS_PROXY=http://203.0.113.10:3128입니다. ServiceEntry는 구성되지 않은 애플리케이션이 프록시 요청을 보내게 만들지 않습니다.

나중에 터널링할 각 웹사이트가 아니라 이 프록시 경로를 등록하십시오. 포워드 프록시가 다음 연결을 열고 계정과 요청한 대상이 허용되는지 결정합니다. 첫 TCP 홉에 대한 메시 권한은 그 프록시 인가도, 애플리케이션에 대한 경로 선택 지시도 제공하지 않습니다.

관련 글