将 Envoy 的上游 TLS 上下文指向容器内的 CA 包

对于由动态正向代理集群发起的 TLS，在该集群上配置 trusted_ca，同时保留目标 SAN 校验。

transport_socket:
  name: envoy.transport_sockets.tls
  typed_config:
    "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
    common_tls_context:
      validation_context:
        trusted_ca:
          filename: /etc/envoy/trust/upstream-ca.pem

将此项与动态正向代理集群的配置合并。批准的包路径必须对运行中的 Envoy 进程可读。在 Kubernetes 中，检查容器内挂载的文件；仅在 worker 节点上安装证书并不能提供它。

通过部署的信任材料流程加入所需的 CA，并确认目标提供所需的中级证书。通过选定的配置或密钥更新机制应用更改。

文档记载的动态正向代理 TLS 设置会为解析出的主机提供 SNI 和主机名 SAN 校验。请将该身份检查与链校验一并保留。

成功的 wget 请求可能使用其他信任源。本输入涵盖由 Envoy 发起的 TLS；在普通 CONNECT 中继中，应用程序仍是校验目标的 TLS 客户端。

相关文章