Nasmerujte upstream TLS kontext Envoy na jeho CA zväzok v kontajneri

Pre TLS iniciované dynamickým forward-proxy klastrom nakonfigurujte trusted_ca na tomto klastri a zachovajte overovanie SAN cieľa.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Zlúčte to s konfiguráciou dynamického forward-proxy klastra. Cesta k schválenému zväzku musí byť čitateľná bežiacim procesom Envoy. V Kubernetes skontrolujte pripojený súbor vnútri kontajnera; certifikát nainštalovaný iba na pracovnom uzle ho neposkytuje.

Zahrňte požadovanú CA prostredníctvom procesu dôveryhodného materiálu nasadenia a potvrďte, že cieľ poskytuje potrebné sprostredkujúce certifikáty. Zmeny aplikujte prostredníctvom zvoleného mechanizmu konfigurácie alebo aktualizácie tajomstiev.

Dokumentované nastavenie dynamického forward-proxy TLS poskytuje SNI a overenie SAN názvu hostiteľa pre preloženého hostiteľa. Zachovajte túto kontrolu identity popri validácii reťazca.

Úspešná požiadavka wget môže použiť iný zdroj dôvery. Tento vstup pokrýva TLS pochádzajúce z Envoy; v bežnom CONNECT relé zostáva aplikácia klientom TLS, ktorý validuje cieľ.

Súvisiace články