Îndreptați contextul TLS upstream al Envoy către pachetul CA din container

Pentru TLS inițiat de un cluster forward-proxy dinamic, configurați trusted_ca pe acel cluster păstrând verificarea SAN a destinației.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Fuzionați acest lucru cu configurația clusterului forward-proxy dinamic. Calea pachetului aprobat trebuie să fie lizibilă de procesul Envoy care rulează. În Kubernetes, inspectați fișierul montat în interiorul containerului; un certificat instalat doar pe nodul worker nu îl furnizează.

Includeți CA necesar prin procesul de materiale de încredere al implementării și confirmați că destinația furnizează certificatele intermediare necesare. Aplicați modificările prin mecanismul de configurare sau de actualizare a secretelor ales.

Configurația documentată de TLS forward-proxy dinamic furnizează verificarea SNI și SAN a numelui de gazdă pentru gazda rezolvată. Păstrați această verificare de identitate alături de validarea lanțului.

O cerere wget reușită poate folosi o altă sursă de încredere. Această intrare acoperă TLS originat de Envoy; într-un releu CONNECT simplu, aplicația rămâne clientul TLS care validează destinația.

Articole similare