Rikta Envoys upstream-TLS-kontext mot dess CA-paket i containern

För TLS som startas av ett dynamiskt forward-proxy-kluster, konfigurera trusted_ca på det klustret samtidigt som SAN-verifieringen av målet behålls.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Slå ihop detta med konfigurationen för det dynamiska forward-proxy-klustret. Sökvägen till det godkända paketet måste vara läsbar för den körande Envoy-processen. I Kubernetes, granska den monterade filen inuti containern; ett certifikat som bara är installerat på arbetsnoden tillhandahåller det inte.

Inkludera den nödvändiga CA:n via distributionens process för förtroendematerial och bekräfta att målet tillhandahåller de nödvändiga mellanliggande certifikaten. Tillämpa ändringar via den valda konfigurations- eller hemlighetsuppdateringsmekanismen.

Den dokumenterade dynamiska forward-proxy-TLS-konfigurationen ger SNI- och värdnamns-SAN-verifiering för den upplösta värden. Behåll den identitetskontrollen tillsammans med kedjevalidering.

En lyckad wget-förfrågan kan använda en annan förtroendekälla. Denna indata omfattar TLS som kommer från Envoy; i en vanlig CONNECT-relä förblir applikationen den TLS-klient som validerar målet.

Relaterade artiklar