Направьте контекст upstream TLS в Envoy на CA-пакет внутри контейнера

Для TLS, инициируемого динамическим кластером forward-proxy, настройте trusted_ca на этом кластере, сохраняя проверку SAN пункта назначения.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Объедините это с конфигурацией динамического кластера forward-proxy. Путь к утверждённому пакету должен быть доступен для чтения работающему процессу Envoy. В Kubernetes проверьте смонтированный файл внутри контейнера; сертификат, установленный только на рабочем узле, этого не обеспечивает.

Включите необходимый CA через процесс материалов доверия развёртывания и убедитесь, что пункт назначения предоставляет нужные промежуточные сертификаты. Применяйте изменения через выбранный механизм конфигурации или обновления секретов.

Документированная настройка динамического forward-proxy TLS обеспечивает проверку SNI и SAN имени хоста для разрешённого хоста. Сохраняйте эту проверку подлинности вместе с проверкой цепочки.

Успешный запрос wget может использовать другой источник доверия. Этот материал охватывает TLS, исходящий от Envoy; в простом ретрансляторе CONNECT приложение остаётся клиентом TLS, проверяющим пункт назначения.

Похожие статьи