Registracija TCP skoka korporativnog CONNECT proxyja u Istio

Koristite ServiceEntry obrazac vanjskog proxyja u sidecar režimu za proxy slušalac, dok odabir proxyja u aplikaciji i autorizacija odredišta ostaju odvojeni.

Za radno opterećenje koje već bira korporativni CONNECT proxy, sidecar vidi vezu prema tom slušaocu. Registrirajte rutu prvog skoka kao TCP prema dokumentovanom sidecar obrascu za vanjski proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Zamijenite IP i port stvarnom završnom tačkom proxyja. Ovaj primjer usklađuje TCP po adresi; hosts ne bira šifrovanu web lokaciju unutar tunela.

Aplikacija i dalje treba svoj podržani proxy unos, kao što je HTTPS_PROXY=http://203.0.113.10:3128 za kompatibilnog klijenta. ServiceEntry ne čini da nekonfigurisana aplikacija šalje proxy zahtjeve.

Registrirajte ovu proxy rutu umesto svake web lokacije kroz koju kasnije tunelira. Prednji proxy otvara dalju vezu i odlučuje da li su račun i traženo odredište dozvoljeni. Mesh dozvola za prvi TCP skok ne daje ni tu proxy autorizaciju ni uputu za odabir rute aplikaciji.

Povezani članci