ลงทะเบียนฮอป TCP ของพร็อกซี CONNECT องค์กรใน Istio

ใช้รูปแบบ ServiceEntry ของพร็อกซีภายนอกในโหมด sidecar สำหรับตัวรับฟังพร็อกซี โดยแยกการเลือกพร็อกซีของแอปและการอนุญาตปลายทางออกจากกัน

สำหรับเวิร์กโหลดที่เลือกพร็อกซี CONNECT องค์กรอยู่แล้ว sidecar จะเห็นการเชื่อมต่อกับตัวรับฟังนั้น ลงทะเบียนเส้นทางฮอปแรกเป็น TCP ตามรูปแบบพร็อกซีภายนอกของ sidecar ที่มีเอกสาร:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

แทนที่ IP และพอร์ตด้วยปลายทางพร็อกซีจริง ตัวอย่างนี้จับคู่ TCP ตามที่อยู่; hosts ไม่ได้เลือกเว็บไซต์ที่เข้ารหัสภายในอุโมงค์

แอปยังต้องมีการป้อนพร็อกซีที่รองรับ เช่น HTTPS_PROXY=http://203.0.113.10:3128 สำหรับไคลเอนต์ที่เข้ากันได้ ServiceEntry ไม่ทำให้แอปที่ยังไม่ได้กำหนดค่าส่งคำขอพร็อกซี

ลงทะเบียนเส้นทางพร็อกซีนี้แทนทุกเว็บไซต์ที่จะอุโมงค์ไปในภายหลัง พร็อกซีส่งต่อ เปิดการเชื่อมต่อถัดไป และตัดสินว่าบัญชีและปลายทางที่ร้องขอได้รับอนุญาตหรือไม่ สิทธิ์ของ mesh สำหรับฮอป TCP แรกไม่ได้ให้ทั้งการอนุญาตพร็อกซีนั้นหรือคำแนะนำการเลือกเส้นทางแก่แอป

บทความที่เกี่ยวข้อง