Registrar o salto TCP do proxy CONNECT corporativo no Istio

Use o padrão ServiceEntry de proxy externo no modo sidecar para o listener do proxy, mantendo separadas a seleção de proxy da aplicação e a autorização do destino.

Para uma carga de trabalho que já seleciona um proxy CONNECT corporativo, o sidecar vê uma conexão com esse listener. Registre a rota do primeiro salto como TCP segundo o padrão documentado de proxy externo no modo sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Substitua o IP e a porta pelo endpoint real do proxy. Este exemplo corresponde TCP por endereço; hosts não escolhe um site criptografado dentro do túnel.

A aplicação ainda precisa da sua entrada de proxy suportada, como HTTPS_PROXY=http://203.0.113.10:3128 para um cliente compatível. Um ServiceEntry não faz uma aplicação não configurada enviar solicitações de proxy.

Registre esta rota de proxy em vez de cada site para o qual ela depois faz túnel. O proxy de encaminhamento abre a conexão seguinte e decide se a conta e o destino solicitado são permitidos. A permissão da malha para o primeiro salto TCP não fornece essa autorização do proxy nem instrução de seleção de rota à aplicação.

Artigos relacionados