Irehistro ang TCP Hop ng Corporate CONNECT Proxy sa Istio

Gamitin ang ServiceEntry pattern ng external proxy sa sidecar mode para sa listener ng proxy, habang hiwalay ang pagpili ng proxy ng app at ang awtorisasyon ng target.

Para sa workload na pumipili na ng corporate CONNECT proxy, nakikita ng sidecar ang koneksyon sa listener na iyon. Irehistro ang ruta ng unang hop bilang TCP ayon sa dokumentadong sidecar external-proxy pattern:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Palitan ang IP at port ng aktwal na endpoint ng proxy. Itinutugma ng halimbawang ito ang TCP ayon sa address; hindi pumipili ang hosts ng naka-encrypt na website sa loob ng tunnel.

Kailangan pa rin ng app ang sinusuportahang proxy input nito, tulad ng HTTPS_PROXY=http://203.0.113.10:3128 para sa compatible na client. Hindi pinipilit ng ServiceEntry ang isang hindi naka-configure na app na magpadala ng mga proxy request.

Irehistro ang ruta ng proxy na ito sa halip na bawat website na tatawirin ng tunnel mamaya. Binubuksan ng forward proxy ang susunod na koneksyon at nagpapasya kung pinapayagan ang account at ang hiniling na destinasyon. Ang pahintulot ng mesh para sa unang TCP hop ay hindi nagbibigay ng awtorisasyong iyon ng proxy o ng tagubilin sa pagpili ng ruta sa app.

Kaugnay na mga artikulo