Registrera TCP-hoppet för företagets CONNECT-proxy i Istio

Använd ServiceEntry-mönstret för extern proxy i sidecar-läge för proxyllyssnaren, medan programmets proxyval och målauktorisering hålls åtskilda.

För en arbetsbelastning som redan väljer en företags-CONNECT-proxy ser sidecar en anslutning till den lyssnaren. Registrera första hoppets rutt som TCP enligt det dokumenterade sidecar-mönstret för extern proxy:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Ersätt IP-adressen och porten med proxyns faktiska slutpunkt. Det här exemplet matchar TCP efter adress; hosts väljer inte en krypterad webbplats inuti tunneln.

Programmet behöver fortfarande sin stödda proxyinmatning, till exempel HTTPS_PROXY=http://203.0.113.10:3128 för en kompatibel klient. En ServiceEntry får inte ett okonfigurerat program att skicka proxyförfrågningar.

Registrera den här proxyrutten i stället för varje webbplats som den senare tunnlar till. Forward-proxyn öppnar nästa anslutning och avgör om kontot och den begärda destinationen är tillåtna. Mesh-tillstånd för det första TCP-hoppet ger varken den proxyauktoriseringen eller någon ruttvalsinstruktion till programmet.

Relaterade artiklar