Усмерите Envoy-ов upstream TLS контекст на његов CA пакет у контејнеру

За TLS који покреће динамички forward-proxy кластер, конфигуришите trusted_ca на том кластеру уз задржавање провере SAN одредишта.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Спојите ово са конфигурацијом динамичког forward-proxy кластера. Путања одобреног пакета мора бити читљива покренутом Envoy процесу. У Kubernetes-у прегледајте монтирану датотеку унутар контејнера; сертификат инсталиран само на радном чвору то не пружа.

Укључите потребни CA кроз процес материјала поверења при имплементацији и потврдите да одредиште пружа потребне посредничке сертификате. Примените промене кроз изабрани механизам конфигурације или ажурирања тајни.

Документована динамичка forward-proxy TLS поставка пружа SNI и проверу SAN назива хоста за разрешени хост. Задржите ту проверу идентитета уз валидацију ланца.

Успешан wget захтев може користити други извор поверења. Овај унос покрива TLS који потиче од Envoy-ја; у обичном CONNECT релеју апликација остаје TLS клијент који валидира одредиште.

Повезани чланци