Registrer TCP-hoppet for bedrifts-CONNECT-proxyen i Istio

Bruk ServiceEntry-mønsteret for ekstern proxy i sidecar-modus for proxyllytteren, mens applikasjonens proxyvalg og målautorisasjon holdes atskilt.

For en arbeidsbelastning som allerede velger en bedrifts-CONNECT-proxy, ser sidecar-en en tilkobling til den lytteren. Registrer ruten for første hopp som TCP etter det dokumenterte sidecar-mønsteret for ekstern proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Erstatt IP-adressen og porten med proxys faktiske endepunkt. Dette eksempelet matcher TCP etter adresse; hosts velger ikke et kryptert nettsted inne i tunnelen.

Applikasjonen trenger fortsatt sitt støttede proxy-input, for eksempel HTTPS_PROXY=http://203.0.113.10:3128 for en kompatibel klient. En ServiceEntry får ikke en ukonfigurert applikasjon til å sende proxyforespørsler.

Registrer denne proxyruten i stedet for hvert nettsted den senere tunellerer til. Forward-proxyen åpner den videre tilkoblingen og avgjør om kontoen og ønsket destinasjon er tillatt. Mesh-tillatelse for det første TCP-hoppet gir verken den proxyautorisasjonen eller en rutevalgsinstruks til applikasjonen.

Relaterte artikler