Înregistrarea saltului TCP al proxy-ului CONNECT corporativ în Istio

Folosiți modelul ServiceEntry pentru proxy extern în modul sidecar pentru listenerul proxy, lăsând separate selecția proxy-ului de către aplicație și autorizarea destinației.

Pentru o sarcină de lucru care selectează deja un proxy CONNECT corporativ, sidecar-ul vede o conexiune către acel listener. Înregistrați ruta primului salt ca TCP conform modelului documentat de proxy extern în modul sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Înlocuiți IP-ul și portul cu punctul final real al proxy-ului. Acest exemplu potrivește TCP după adresă; hosts nu alege un site web criptat în interiorul tunelului.

Aplicația are în continuare nevoie de intrarea sa proxy acceptată, de exemplu HTTPS_PROXY=http://203.0.113.10:3128 pentru un client compatibil. Un ServiceEntry nu face o aplicație neconfigurată să trimită cereri proxy.

Înregistrați această rută proxy în locul fiecărui site către care tunelizează ulterior. Proxy-ul de redirecționare deschide următoarea conexiune și decide dacă contul și destinația solicitată sunt permise. Permisiunea mesh pentru primul salt TCP nu oferă nici acea autorizare proxy, nici instrucțiuni de selectare a rutei aplicației.

Articole similare