Trỏ ngữ cảnh TLS thượng nguồn của Envoy tới gói CA bên trong container

Với TLS do một cụm forward-proxy động khởi tạo, hãy cấu hình trusted_ca trên cụm đó trong khi vẫn giữ xác minh SAN của đích.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

Hợp nhất phần này với cấu hình của cụm forward-proxy động. Đường dẫn tới gói đã được phê duyệt phải đọc được bởi tiến trình Envoy đang chạy. Trong Kubernetes, hãy kiểm tra tệp được gắn bên trong container; chứng chỉ chỉ cài trên nút worker không cung cấp được điều đó.

Đưa CA cần thiết vào thông qua quy trình vật liệu tin cậy của triển khai, và xác nhận rằng đích cung cấp các chứng chỉ trung gian cần thiết. Áp dụng thay đổi thông qua cơ chế cấu hình hoặc cập nhật bí mật đã chọn.

Thiết lập TLS forward-proxy động đã được ghi lại cung cấp xác minh SNI và SAN tên máy chủ cho máy chủ đã phân giải. Giữ kiểm tra danh tính đó song song với xác thực chuỗi.

Một yêu cầu wget thành công có thể dùng nguồn tin cậy khác. Đầu vào này bao gồm TLS bắt nguồn từ Envoy; trong một relay CONNECT thông thường, ứng dụng vẫn là ứng dụng khách TLS xác thực đích.

Bài viết liên quan