Rejestrowanie skoku TCP firmowego proxy CONNECT w Istio

Użyj wzorca ServiceEntry zewnętrznego proxy w trybie sidecar dla nasłuchu proxy, pozostawiając wybór proxy przez aplikację i autoryzację celu osobno.

Dla obciążenia, które już wybiera firmowe proxy CONNECT, sidecar widzi połączenie z tym nasłuchem. Zarejestruj trasę pierwszego skoku jako TCP zgodnie z udokumentowanym wzorcem zewnętrznego proxy w trybie sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Zastąp adres IP i port rzeczywistym punktem końcowym proxy. Ten przykład dopasowuje TCP według adresu; hosts nie wybiera zaszyfrowanej witryny wewnątrz tunelu.

Aplikacja nadal potrzebuje własnego obsługiwanego wejścia proxy, na przykład HTTPS_PROXY=http://203.0.113.10:3128 dla zgodnego klienta. ServiceEntry nie sprawia, że nieskonfigurowana aplikacja wysyła żądania proxy.

Zarejestruj tę trasę proxy, a nie każdą witrynę, do której później tuneluje. Proxy przekazujące otwiera następne połączenie i decyduje, czy konto i żądany cel są dozwolone. Uprawnienie mesh dla pierwszego skoku TCP nie daje ani tej autoryzacji proxy, ani instrukcji wyboru trasy dla aplikacji.

Powiązane artykuły