ריכטעט אן דעם upstream TLS קאנטעקסט פון Envoy צו זיין CA בינדל אין קאנטעינער

פאר TLS וואס ווערט אנגעהויבן דורך א דינאמישן forward-proxy קלוסטער, קאנפיגורירט trusted_ca אויף יענעם קלוסטער בשעת איר האלט די SAN וועריפיקאציע פון דער דעסטינאציע.

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

פאראייניקט דאס מיט דער קאנפיגוראציע פונעם דינאמישן forward-proxy קלוסטער. דער וועג צום באשטעטיגטן בינדל מוז זיין לייענבאר דורכן לויפנדיקן Envoy פראצעס. אין Kubernetes, אונטערזוכט די מאנטירטע טעקע אין קאנטעינער; א צערטיפיקאט וואס איז אינסטאלירט נאר אויפן ארבעטער נאד גיט דאס נישט.

נעמט אריין דעם פארלאנגטן CA דורכן טראסט-מאטעריאל פראצעס פונעם דיפלוימענט, און באשטעטיקט אז די דעסטינאציע צושטעלט די נויטיקע צווישנצערטיפיקאטן. ווענדט אן ענדערונגען דורכן אויסגעקליבענעם קאנפיגוראציע- אדער סוד-דערהיינטיקונג מעכאניזם.

די דאקומענטירטע דינאמישע forward-proxy TLS איינשטעלונג צושטעלט SNI און האסטנאמען SAN וועריפיקאציע פאר דעם אויפגעלזטן האסט. האלט יענע אידענטיטעט קאנטראל צוזאמען מיט קייט וואלידאציע.

א סוקסעריכע wget בקשה קען נוצן אן אנדער טראסט מקור. דער אריינגאנג דעקט TLS וואס שטאמט פון Envoy; אין אן איינפאכן CONNECT רילעי, די אפליקאציע בלייבט דער TLS קליענט וואס וואלידירט די דעסטינאציע.

פֿאַרבונדענע אַרטיקלען