Registrácia TCP skoku firemného CONNECT proxy v Istio

Pre počúvajúci port proxy použite vzor ServiceEntry externého proxy v režime sidecar, pričom voľba proxy v aplikácii a autorizácia cieľa zostávajú oddelené.

Pre pracovné zaťaženie, ktoré už volí firemný CONNECT proxy, sidecar vidí spojenie na tento počúvajúci port. Zaregistrujte trasu prvého skoku ako TCP podľa dokumentovaného vzoru externého proxy v režime sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Nahraďte IP adresu a port skutočným koncovým bodom proxy. Tento príklad páruje TCP podľa adresy; hosts nevyberá šifrovanú webovú stránku vnútri tunela.

Aplikácia stále potrebuje svoje podporované nastavenie proxy, napríklad HTTPS_PROXY=http://203.0.113.10:3128 pre kompatibilného klienta. ServiceEntry nespôsobí, že nekonfigurovaná aplikácia odošle proxy požiadavky.

Registrujte túto trasu proxy, nie každú webovú stránku, cez ktorú neskôr tuneluje. Dopredný proxy otvára nasledujúce spojenie a rozhoduje, či sú účet a požadovaný cieľ povolené. Oprávnenie mesh pre prvý TCP skok neposkytuje ani túto autorizáciu proxy, ani pokyn na voľbu trasy pre aplikáciu.

Súvisiace články