De TCP-hop van de bedrijfs-CONNECT-proxy registreren in Istio

Gebruik het ServiceEntry-patroon voor een externe proxy in sidecar-modus voor de proxylistener, terwijl de proxykeuze van de applicatie en de doelautorisatie gescheiden blijven.

Voor een workload die al een bedrijfs-CONNECT-proxy kiest, ziet de sidecar een verbinding naar die listener. Registreer de route van de eerste hop als TCP volgens het gedocumenteerde sidecar-patroon voor een externe proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Vervang het IP en de poort door het werkelijke proxy-eindpunt. Dit voorbeeld matcht TCP op adres; hosts kiest geen versleutelde website binnen de tunnel.

De applicatie heeft nog steeds zijn ondersteunde proxy-invoer nodig, bijvoorbeeld HTTPS_PROXY=http://203.0.113.10:3128 voor een compatibele client. Een ServiceEntry zorgt er niet voor dat een niet-geconfigureerde applicatie proxyverzoeken verstuurt.

Registreer deze proxyroute in plaats van elke website waarnaar later wordt getunneld. De forward-proxy opent de volgende verbinding en beslist of het account en de gevraagde bestemming zijn toegestaan. Mesh-toestemming voor de eerste TCP-hop levert noch die proxyautorisatie noch een routekeuze-instructie aan de applicatie.

Gerelateerde artikelen