Envoy'нун upstream TLS контекстин контейнер ичиндеги CA топтомунa багыттаңыз

Динамикалык forward-proxy кластери баштаган TLS үчүн ошол кластерде trusted_ca конфигурациялап, максаттын SAN текшерүүсүн сактаңыз.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Муну динамикалык forward-proxy кластеринин конфигурациясы менен бириктириңиз. Бекитилген топтомдун жолу иштеп жаткан Envoy процесси үчүн окула турган болушу керек. Kubernetes'те контейнердин ичиндеги орнотулган файлды текшериңиз; жумушчу түйүнгө гана орнотулган сертификат аны камсыз кылбайт.

Керектүү CAны жайылтуунун ишеним материалы процесси аркылуу кошуңуз жана максат керектүү орто сертификаттарды берерин ырастаңыз. Өзгөртүүлөрдү тандалган конфигурация же жашыруун жаңыртуу механизми аркылуу колдонуңуз.

Документтелген динамикалык forward-proxy TLS жөндөөсү чечилген хост үчүн SNI жана хост атынын SAN текшерүүсүн камсыз кылат. Бул идентификация текшерүүсүн чынжыр валидациясы менен бирге сактаңыз.

Ийгиликтүү wget суроосу башка ишеним булагын колдоно алат. Бул киргизүү Envoy'дон чыккан TLSди камтыйт; жөнөкөй CONNECT релесинде колдонмо максатты текшерүүчү TLS кардары бойдон калат.

Тектеш макалалар