Envoy चा अपस्ट्रीम TLS संदर्भ कंटेनरमधील CA बंडलकडे निर्देशित करा

डायनॅमिक फॉरवर्ड-प्रॉक्सी क्लस्टरने सुरू केलेल्या TLS साठी, त्या क्लस्टरवर trusted_ca कॉन्फिगर करा आणि गंतव्य SAN पडताळणी टिकवून ठेवा.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

हे डायनॅमिक फॉरवर्ड-प्रॉक्सी क्लस्टरच्या कॉन्फिगरेशनसह एकत्र करा. मंजूर बंडलचा मार्ग चालू असलेल्या Envoy प्रक्रियेसाठी वाचनीय असणे आवश्यक आहे. Kubernetes मध्ये, कंटेनरमधील माउंट केलेली फाइल तपासा; केवळ वर्कर नोडवर स्थापित केलेले प्रमाणपत्र ते पुरवत नाही.

आवश्यक CA डिप्लॉयमेंटच्या ट्रस्ट-मटेरियल प्रक्रियेद्वारे समाविष्ट करा आणि गंतव्य आवश्यक इंटरमीडिएट प्रमाणपत्रे पुरवते याची खात्री करा. निवडलेल्या कॉन्फिगरेशन किंवा सीक्रेट-अपडेट यंत्रणेद्वारे बदल लागू करा.

दस्तऐवजीकृत डायनॅमिक फॉरवर्ड-प्रॉक्सी TLS सेटअप सोडवलेल्या होस्टसाठी SNI आणि होस्टनाव SAN पडताळणी पुरवतो. ती ओळख तपासणी साखळी पडताळणीसोबत ठेवा.

यशस्वी wget विनंती दुसरा ट्रस्ट स्रोत वापरू शकते. हे इनपुट Envoy कडून उद्भवणाऱ्या TLS ला व्यापते; साध्या CONNECT रिलेमध्ये, अनुप्रयोग गंतव्य पडताळणारा TLS क्लायंट राहतो.

संबंधित लेख