ຊີ້ບອກບໍລິບົດ upstream TLS ຂອງ Envoy ໄປຫາ CA bundle ໃນ container

ສຳລັບ TLS ທີ່ເລີ່ມໂດຍຄລັສເຕີ forward-proxy ແບບເຄື່ອນໄຫວ, ຕັ້ງຄ່າ trusted_ca ເທິງຄລັສເຕີນັ້ນ ພ້ອມຮັກສາການກວດສອບ SAN ຂອງປາຍທາງ.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

ລວມສິ່ງນີ້ກັບການຕັ້ງຄ່າຂອງຄລັສເຕີ forward-proxy ແບບເຄື່ອນໄຫວ. ເສັ້ນທາງຂອງ bundle ທີ່ໄດ້ຮັບອະນຸມັດຕ້ອງສາມາດອ່ານໄດ້ໂດຍຂະບວນການ Envoy ທີ່ກຳລັງເຮັດວຽກ. ໃນ Kubernetes, ກວດສອບໄຟລ໌ທີ່ mount ໄວ້ໃນ container; ໃບຢັ້ງຢືນທີ່ຕິດຕັ້ງພຽງແຕ່ເທິງ worker node ບໍ່ໄດ້ໃຫ້ສິ່ງນັ້ນ.

ລວມ CA ທີ່ຕ້ອງການຜ່ານຂະບວນການວັດຖຸຄວາມໄວ້ວາງໃຈຂອງການ deploy, ແລະ ຢືນຢັນວ່າປາຍທາງໃຫ້ໃບຢັ້ງຢືນກາງທີ່ຈຳເປັນ. ນຳໃຊ້ການປ່ຽນແປງຜ່ານກົນໄກການຕັ້ງຄ່າ ຫຼື ການອັບເດດ secret ທີ່ເລືອກ.

ການຕັ້ງຄ່າ TLS forward-proxy ແບບເຄື່ອນໄຫວທີ່ເອກະສານໄວ້ໃຫ້ການກວດສອບ SNI ແລະ SAN ຊື່ໂຮສສຳລັບໂຮສທີ່ແກ້ໄຂແລ້ວ. ຮັກສາການກວດສອບຕົວຕົນນັ້ນຄຽງກັບການກວດສອບ chain.

ຄຳຮ້ອງ wget ທີ່ສຳເລັດສາມາດໃຊ້ແຫຼ່ງຄວາມໄວ້ວາງໃຈອື່ນ. ຂໍ້ມູນນີ້ກວມເອົາ TLS ທີ່ເກີດຈາກ Envoy; ໃນ relay CONNECT ທຳມະດາ, ແອັບພລິເຄຊັນຍັງເປັນ TLS client ທີ່ກວດສອບປາຍທາງ.

ບົດຄວາມທີ່ກ່ຽວຂ້ອງ