Registrer TCP-hoppet for bedrifts-CONNECT-proxyen i Istio

Bruk ServiceEntry-mønsteret for ekstern proxy i sidecar-modus for proxyllyttaren, medan proxyvalet til applikasjonen og målautorisasjonen blir haldne kvar for seg.

For ei arbeidsbelastning som allereie vel ein bedrifts-CONNECT-proxy, ser sidecar-en ei tilkopling til den lyttaren. Registrer ruta for første hopp som TCP etter det dokumenterte sidecar-mønsteret for ekstern proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Byt ut IP-adressa og porten med det faktiske endepunktet til proxyen. Dette dømet matchar TCP etter adresse; hosts vel ikkje eit kryptert nettstad inne i tunnelen.

Applikasjonen treng framleis sitt støtta proxy-input, til dømes HTTPS_PROXY=http://203.0.113.10:3128 for ein kompatibel klient. Ein ServiceEntry får ikkje ein ukonfigurert applikasjon til å senda proxyførespurnader.

Registrer denne proxyruta i staden for kvar nettstad ho seinare tunnelerer til. Forward-proxyen opnar den vidare tilkoplinga og avgjer om kontoen og den ønska destinasjonen er tillatne. Mesh-tillating for det første TCP-hoppet gir korkje den proxyautorisasjonen eller ei rutevalsinstruks til applikasjonen.

Relaterte artiklar