Usmerite Envoyev upstream TLS kontekst na njegov paket CA v vsebniku

Za TLS, ki ga začne dinamični forward-proxy cluster, konfigurirajte trusted_ca na tem clusterju in ohranite preverjanje SAN cilja.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

To združite s konfiguracijo dinamičnega forward-proxy clusterja. Pot do odobrenega paketa mora biti berljiva za delujoči proces Envoy. V Kubernetesu preglejte pripeto datoteko znotraj vsebnika; potrdilo, nameščeno samo na delovnem vozlišču, tega ne zagotavlja.

Vključite potrebni CA prek procesa materialov zaupanja pri uvajanju in potrdite, da cilj zagotavlja potrebna vmesna potrdila. Spremembe uporabite prek izbranega mehanizma za konfiguracijo ali posodabljanje skrivnosti.

Dokumentirana nastavitev dinamičnega forward-proxy TLS zagotavlja preverjanje SNI in SAN imena gostitelja za razrešenega gostitelja. To preverjanje identitete ohranite ob validaciji verige.

Uspešna zahteva wget lahko uporabi drug vir zaupanja. Ta vnos pokriva TLS, ki izvira iz Envoyja; v običajnem releju CONNECT aplikacija ostane odjemalec TLS, ki validira cilj.

Sorodni članki