Den TCP-Hop vum Firmen-CONNECT-Proxy an Istio registréieren

Benotzt d'ServiceEntry-Muster fir en externen Proxy am Sidecar-Modus fir de Proxy-Listener, wärend d'Proxy-Wiel vun der Applikatioun an d'Zielautorisatioun getrennt bleiwen.

Fir eng Workload, déi schonn en Firmen-CONNECT-Proxy auswielt, gesäit de Sidecar eng Verbindung zu deem Listener. Registréiert d'First-Hop-Route als TCP no deem dokumentéierten Sidecar-Muster fir en externen Proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Ersetzt d'IP an de Port duerch den eigentlechen Proxy-Endpunkt. Dëst Beispill passt TCP no Adress un; hosts wielt keng verschlësselt Websäit bannent dem Tunnel.

D'Applikatioun brauch nach ëmmer hir ënnerstëtzt Proxy-Agab, zum Beispill HTTPS_PROXY=http://203.0.113.10:3128 fir e kompatibele Client. E ServiceEntry mécht net, datt eng net-konfiguréiert Applikatioun Proxy-Ufroen schéckt.

Registréiert dës Proxy-Route amplaz all Websäit, op déi se spéider tunnelt. De Forward-Proxy ëffnet déi nächst Verbindung an entscheet, ob de Kont an d'ugefrote Ziel erlaabt sinn. D'Mesh-Berechtegung fir den éischten TCP-Hop gëtt weder déi Proxy-Autorisatioun nach eng Routen-Wiel-Instruktioun un d'Applikatioun.

Ähnlech Artikelen