Реєстрація TCP-переходу корпоративного CONNECT-проксі в Istio

Використовуйте шаблон ServiceEntry зовнішнього проксі в режимі sidecar для слухача проксі, залишаючи вибір проксі застосунком і авторизацію цілі окремо.

Для робочого навантаження, яке вже вибирає корпоративний CONNECT-проксі, sidecar бачить з'єднання з цим слухачем. Зареєструйте маршрут першого переходу як TCP згідно з документованим шаблоном зовнішнього проксі в режимі sidecar:

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: corporate-forward-proxy
spec:
  hosts:
    - proxy.corp.example
  addresses:
    - 203.0.113.10/32
  ports:
    - number: 3128
      name: tcp-proxy
      protocol: TCP
  location: MESH_EXTERNAL
  resolution: NONE

Замініть IP-адресу та порт на фактичну кінцеву точку проксі. Цей приклад зіставляє TCP за адресою; hosts не вибирає зашифрований сайт усередині тунелю.

Застосунку все ще потрібне його підтримуване введення проксі, наприклад HTTPS_PROXY=http://203.0.113.10:3128 для сумісного клієнта. ServiceEntry не змушує неналаштований застосунок надсилати проксі-запити.

Реєструйте цей маршрут проксі, а не кожен сайт, до якого він пізніше тунелюється. Прямий проксі відкриває наступне з'єднання і вирішує, чи дозволені обліковий запис і запитане призначення. Дозвіл mesh для першого TCP-переходу не дає ні цієї авторизації проксі, ні вказівок щодо вибору маршруту застосунку.

Схожі статті