Kurumsal CONNECT proxy'sinin TCP atlamasını Istio'da kaydetme

Proxy dinleyicisi için sidecar modunda harici proxy ServiceEntry desenini kullanın; uygulamanın proxy seçimi ile hedef yetkilendirmesi ayrı kalsın.

Zaten kurumsal bir CONNECT proxy'si seçen iş yükü için sidecar, o dinleyiciye bir bağlantı görür. İlk atlamanın rotasını TCP olarak belgelenmiş sidecar harici proxy deseninde kaydedin:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

IP'yi ve bağlantı noktasını gerçek proxy uç noktasıyla değiştirin. Bu örnek TCP'yi adrese göre eşleştirir; hosts tünelin içindeki şifreli bir web sitesini seçmez.

Uygulama yine de desteklediği proxy girdisine ihtiyaç duyar, örneğin uyumlu bir istemci için HTTPS_PROXY=http://203.0.113.10:3128. ServiceEntry, yapılandırılmamış bir uygulamanın proxy istekleri göndermesini sağlamaz.

Daha sonra tünelleyeceği her web sitesi yerine bu proxy rotasını kaydedin. Yönlendirici proxy sonraki bağlantıyı açar ve hesabın ve istenen hedefin izinli olup olmadığına karar verir. İlk TCP atlaması için mesh izni ne bu proxy yetkilendirmesini ne de uygulamaya rota seçimi talimatını verir.

İlgili makaleler