Nukreipkite Envoy upstream TLS kontekstą į CA paketą konteinerio viduje

TLS, kurią inicijuoja dinaminis forward-proxy klasteris, sukonfigūruokite trusted_ca tame klasteryje ir išsaugokite paskirties SAN tikrinimą.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Sujunkite tai su dinaminio forward-proxy klasterio konfigūracija. Patvirtinto paketo kelias turi būti įskaitomas veikiančio Envoy proceso. Kubernetes atveju patikrinkite konteineryje prijungtą failą; tik darbiniame mazge įdiegtas sertifikatas to neužtikrina.

Įtraukite reikiamą CA per diegimo patikimumo medžiagos procesą ir patvirtinkite, kad paskirtis teikia reikiamus tarpinius sertifikatus. Pakeitimus taikykite pasirinktu konfigūracijos arba slaptųjų duomenų atnaujinimo mechanizmu.

Dokumentuota dinaminė forward-proxy TLS sąranka teikia SNI ir serverio vardo SAN tikrinimą išspręstam serveriui. Išsaugokite šį tapatybės patikrinimą kartu su grandinės validavimu.

Sėkminga wget užklausa gali naudoti kitą patikimumo šaltinį. Ši įvestis apima TLS, kylančią iš Envoy; paprastame CONNECT rele programą lieka TLS klientas, validuojantis paskirtį.

Susiję straipsniai