Halakan konteks TLS huluan Envoy ke berkas CA dalam bekas

Untuk TLS yang dimulakan oleh kluster proksi hadapan dinamik, konfigurasikan trusted_ca pada kluster itu sambil mengekalkan pengesahan SAN destinasi.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Gabungkan ini dengan konfigurasi kluster proksi hadapan dinamik. Laluan berkas yang diluluskan mesti boleh dibaca oleh proses Envoy yang berjalan. Dalam Kubernetes, periksa fail yang dipasang di dalam bekas; sijil yang dipasang hanya pada nod pekerja tidak menyediakannya.

Sertakan CA yang diperlukan melalui proses bahan kepercayaan penggunaan, dan sahkan bahawa destinasi menyediakan sijil perantaraan yang diperlukan. Gunakan perubahan melalui mekanisme konfigurasi atau kemas kini rahsia yang dipilih.

Persediaan TLS proksi hadapan dinamik yang didokumenkan menyediakan pengesahan SNI dan SAN nama hos untuk hos yang diselesaikan. Kekalkan pemeriksaan identiti itu bersama pengesahan rantaian.

Permintaan wget yang berjaya boleh menggunakan sumber kepercayaan lain. Input ini merangkumi TLS yang berasal daripada Envoy; dalam geganti CONNECT biasa, aplikasi kekal sebagai klien TLS yang mengesahkan destinasi.

Artikel berkaitan