Drejto kontekstin TLS të sipërm të Envoy te paketa CA brenda kontejnerit

Për TLS të nisur nga një grup forward-proxy dinamik, konfiguroni trusted_ca në atë grup duke mbajtur verifikimin SAN të destinacionit.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Bashkoni këtë me konfigurimin e grupit dinamik forward-proxy. Rruga e paketës së miratuar duhet të lexohet nga procesi Envoy që po ekzekutohet. Në Kubernetes, inspektoni skedarin e montuar brenda kontejnerit; një certifikatë e instaluar vetëm në nyjen e punës nuk e ofron atë.

Përfshini CA-në e kërkuar përmes procesit të materialeve të besimit të vendosjes dhe konfirmoni që destinacioni ofron certifikatat e ndërmjetme të nevojshme. Aplikoni ndryshimet përmes mekanizmit të zgjedhur të konfigurimit ose të përditësimit të sekreteve.

Konfigurimi i dokumentuar i TLS forward-proxy dinamik ofron verifikim SNI dhe SAN të emrit të hostit për hostin e zgjidhur. Mbajeni atë kontroll identiteti krahas validimit të zinxhirit.

Një kërkesë wget e suksesshme mund të përdorë një burim tjetër besimi. Ky input mbulon TLS që buron nga Envoy; në një rele CONNECT të thjeshtë, aplikacioni mbetet klienti TLS që validon destinacionin.

Artikuj të ngjashëm