Usmerite Envoy-ov upstream TLS kontekst na njegov CA paket u kontejneru

Za TLS koji pokreće dinamički forward-proxy klaster, konfigurišite trusted_ca na tom klasteru uz zadržavanje provere SAN odredišta.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Spojite ovo sa konfiguracijom dinamičkog forward-proxy klastera. Putanja odobrenog paketa mora biti čitljiva pokrenutom Envoy procesu. U Kubernetesu pregledajte montiranu datoteku unutar kontejnera; sertifikat instaliran samo na radnom čvoru to ne pruža.

Uključite potrebni CA kroz proces materijala poverenja pri implementaciji i potvrdite da odredište pruža potrebne posredničke sertifikate. Primenite promene kroz izabrani mehanizam konfiguracije ili ažuriranja tajni.

Dokumentovana dinamička forward-proxy TLS postavka pruža SNI i proveru SAN naziva hosta za razrešeni host. Zadržite tu proveru identiteta uz validaciju lanca.

Uspešan wget zahtev može koristiti drugi izvor poverenja. Ovaj unos pokriva TLS koji potiče od Envoy-ja; u običnom CONNECT releju aplikacija ostaje TLS klijent koji validira odredište.

Povezani članci