Novirziet Envoy augšupējās plūsmas TLS kontekstu uz CA paketi konteinerī

TLS, ko uzsāk dinamisks forward-proxy klasteris, konfigurējiet trusted_ca šajā klasterī, saglabājot galamērķa SAN pārbaudi.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Apvienojiet to ar dinamiskā forward-proxy klastera konfigurāciju. Apstiprinātā paketes ceļam jābūt lasāmam darbojošajam Envoy procesam. Kubernetes pārbaudiet konteinerī iekļauto failu; tikai darba mezglā instalēts sertifikāts to nenodrošina.

Iekļaujiet nepieciešamo CA, izmantojot izvietošanas uzticamības materiālu procesu, un apstipriniet, ka galamērķis nodrošina nepieciešamos starpsertifikātus. Piemērojiet izmaiņas, izmantojot izvēlēto konfigurācijas vai slepeno datu atjaunināšanas mehānismu.

Dokumentētā dinamiskā forward-proxy TLS konfigurācija nodrošina SNI un resursdatora nosaukuma SAN pārbaudi atrisinātajam resursdatoram. Saglabājiet šo identitātes pārbaudi kopā ar ķēdes validāciju.

Veiksmīgs wget pieprasījums var izmantot citu uzticamības avotu. Šī ievade aptver TLS, kas nāk no Envoy; vienkāršā CONNECT relejā lietojumprogramma paliek TLS klients, kas validē galamērķi.

Saistītie raksti