Registracija skoka TCP korporativnega proxyja CONNECT v Istio

Uporabite vzorec ServiceEntry za zunanji proxy v načinu sidecar za poslušalca proxyja, pri čemer izbira proxyja v aplikaciji in avtorizacija cilja ostaneta ločeni.

Za delovno obremenitev, ki že izbira korporativni proxy CONNECT, sidecar vidi povezavo do tega poslušalca. Registrirajte pot prvega skoka kot TCP po dokumentiranem vzorcu zunanjega proxyja v načinu sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Zamenjajte IP in vrata z dejansko končno točko proxyja. Ta primer ujema TCP po naslovu; hosts ne izbere šifriranega spletnega mesta znotraj tunela.

Aplikacija še vedno potrebuje svoj podprti vnos proxyja, na primer HTTPS_PROXY=http://203.0.113.10:3128 za združljivega odjemalca. ServiceEntry ne povzroči, da bi nekonfigurirana aplikacija pošiljala zahteve proxyja.

Registrirajte to pot proxyja namesto vsakega spletnega mesta, v katerega pozneje tunelira. Posredniški proxy odpre naslednjo povezavo in odloči, ali sta račun in zahtevani cilj dovoljena. Dovoljenje mesh za prvi skok TCP ne zagotovi niti te avtorizacije proxyja niti navodila za izbiro poti aplikaciji.

Sorodni članki