Idderieġi l-kuntest TLS upstream ta' Envoy lejn il-bundle CA fil-container

Għat-TLS li jinbeda minn cluster forward-proxy dinamiku, ikkonfigura trusted_ca fuq dak il-cluster filwaqt li żżomm il-verifika SAN tad-destinazzjoni.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Għaqqad dan mal-konfigurazzjoni tal-cluster forward-proxy dinamiku. Il-passaġġ tal-bundle approvat għandu jkun jinqara mill-proċess Envoy li qed jaħdem. F'Kubernetes, iċċekkja l-fajl immuntat ġewwa l-container; ċertifikat installat biss fuq il-worker node ma jipprovdix dan.

Inkludi s-CA meħtieġa permezz tal-proċess tal-materjal ta' fiduċja tad-deployment, u kkonferma li d-destinazzjoni tipprovdi ċ-ċertifikati intermedji meħtieġa. Applika l-bidliet permezz tal-mekkaniżmu tal-konfigurazzjoni jew tal-aġġornament tas-sigrieti magħżul.

Is-setup TLS forward-proxy dinamiku dokumentat jipprovdi verifika SNI u SAN tal-isem tal-host għall-host riżolt. Żomm dik il-verifika tal-identità flimkien mal-validazzjoni tal-katina.

Talba wget b'suċċess tista' tuża sors ta' fiduċja ieħor. Dan l-input ikopri TLS li joriġina minn Envoy; f'relay CONNECT sempliċi, l-applikazzjoni tibqa' l-klijent TLS li jivvalida d-destinazzjoni.

Artikli relatati