Wijs de upstream-TLS-context van Envoy naar zijn CA-bundel in de container

Configureer voor TLS die door een dynamisch forward-proxycluster wordt gestart trusted_ca op dat cluster en behoud de SAN-verificatie van de bestemming.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Voeg dit samen met de configuratie van het dynamische forward-proxycluster. Het pad naar de goedgekeurde bundel moet leesbaar zijn voor het draaiende Envoy-proces. Inspecteer in Kubernetes het gemounte bestand in de container; een certificaat dat alleen op het worker-node is geïnstalleerd, levert dat niet.

Neem de vereiste CA op via het trustmateriaalproces van de deployment en bevestig dat de bestemming de benodigde tussenliggende certificaten levert. Pas wijzigingen toe via het gekozen configuratie- of geheimupdatemechanisme.

De gedocumenteerde dynamische forward-proxy-TLS-instelling levert SNI- en hostnaam-SAN-verificatie voor de opgeloste host. Behoud die identiteitscontrole naast ketenvalidatie.

Een geslaagd wget-verzoek kan een andere vertrouwensbron gebruiken. Deze invoer behandelt TLS die van Envoy afkomstig is; in een gewone CONNECT-relay blijft de toepassing de TLS-client die de bestemming valideert.

Gerelateerde artikelen