Envoy'un upstream TLS bağlamını konteyner içindeki CA paketine yönlendirin

Dinamik bir forward-proxy kümesinin başlattığı TLS için bu kümede trusted_ca yapılandırın ve hedef SAN doğrulamasını koruyun.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Bunu dinamik forward-proxy kümesinin yapılandırmasıyla birleştirin. Onaylanmış paketin yolu, çalışan Envoy süreci tarafından okunabilir olmalıdır. Kubernetes'te konteyner içine bağlanan dosyayı inceleyin; yalnızca çalışan düğümde kurulu bir sertifika bunu sağlamaz.

Gerekli CA'yı dağıtımın güven malzemesi süreci aracılığıyla dahil edin ve hedefin gereken ara sertifikaları sağladığını doğrulayın. Değişiklikleri seçilen yapılandırma veya gizli güncelleme mekanizmasıyla uygulayın.

Belgelenen dinamik forward-proxy TLS kurulumu, çözümlenen ana makine için SNI ve ana makine adı SAN doğrulaması sağlar. Bu kimlik denetimini zincir doğrulamasıyla birlikte koruyun.

Başarılı bir wget isteği başka bir güven kaynağı kullanabilir. Bu girdi Envoy'dan kaynaklanan TLS'i kapsar; düz bir CONNECT aktarıcısında uygulama, hedefi doğrulayan TLS istemcisi olarak kalır.

İlgili makaleler