Насочете upstream TLS контекстот на Envoy кон CA пакетот во контејнерот

За TLS што го иницира динамичен forward-proxy кластер, конфигурирајте trusted_ca на тој кластер додека ја задржувате проверката на SAN на дестинацијата.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Спојте го ова со конфигурацијата на динамичниот forward-proxy кластер. Патеката до одобрениот пакет мора да биде читлива за процесот Envoy што работи. Во Kubernetes, проверете ја монтираната датотека внатре во контејнерот; сертификат инсталиран само на работниот јазол не го обезбедува тоа.

Вклучете го потребниот CA преку процесот на доверливи материјали на распоредувањето и потврдете дека дестинацијата ги обезбедува потребните посредни сертификати. Применете ги промените преку избраниот механизам за конфигурација или ажурирање на тајни.

Документираното поставување на динамичен forward-proxy TLS обезбедува SNI и проверка на SAN за името на домаќинот за решениот домаќин. Задржете ја таа проверка на идентитетот заедно со валидацијата на синџирот.

Успешно wget барање може да користи друг извор на доверба. Овој внес го опфаќа TLS што потекнува од Envoy; во обичен CONNECT реле, апликацијата останува TLS клиентот што ја валидира дестинацијата.

Поврзани статии