Aponte o contexto TLS de upstream do Envoy para o pacote de CA dentro do contêiner

Para TLS originado por um cluster de proxy forward dinâmico, configure trusted_ca nesse cluster mantendo a verificação SAN do destino.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Combine isto com a configuração do cluster de proxy forward dinâmico. O caminho do pacote aprovado deve ser legível pelo processo Envoy em execução. No Kubernetes, inspecione o arquivo montado dentro do contêiner; um certificado instalado apenas no nó trabalhador não o fornece.

Inclua a CA necessária por meio do processo de material de confiança da implantação e confirme que o destino fornece os certificados intermediários necessários. Aplique alterações pelo mecanismo de configuração ou de atualização de segredos escolhido.

A configuração documentada de TLS de proxy forward dinâmico fornece verificação SNI e SAN do nome do host para o host resolvido. Mantenha essa checagem de identidade junto com a validação da cadeia.

Uma solicitação wget bem-sucedida pode usar outra fonte de confiança. Esta entrada cobre o TLS originado pelo Envoy; em um relé CONNECT simples, o aplicativo continua sendo o cliente TLS que valida o destino.

Artigos relacionados