为什么在Istio中使用mTLS转发前一个请求的主机报头会返回500？
在Istio中使用mTLS（Mutual Transport Layer Security）转发前一个请求的主机报头返回500的原因可能是由于以下几个方面引起的：
- 证书配置问题：mTLS需要双方之间的通信使用证书进行加密和身份验证。如果证书配置不正确，例如证书过期、证书不匹配等，会导致请求被拒绝，从而返回500错误。解决方法是检查证书配置，确保证书有效且正确配置。
- 证书颁发机构（CA）问题：mTLS需要使用可信的证书颁发机构颁发的证书进行验证。如果使用的证书颁发机构不被信任或者证书链不完整，会导致验证失败，从而返回500错误。解决方法是使用受信任的证书颁发机构颁发的证书，并确保证书链完整。
- 服务端配置问题：Istio中的mTLS需要服务端配置启用双向认证。如果服务端未正确配置mTLS，例如未启用双向认证或者未配置正确的证书和密钥，会导致请求被拒绝，从而返回500错误。解决方法是检查服务端的mTLS配置，确保正确启用了双向认证，并配置了正确的证书和密钥。
- 客户端配置问题：Istio中的mTLS还需要客户端配置正确的证书和密钥。如果客户端未正确配置mTLS，例如未提供正确的证书和密钥，会导致请求被拒绝，从而返回500错误。解决方法是检查客户端的mTLS配置，确保提供了正确的证书和密钥。
总结起来，当在Istio中使用mTLS转发前一个请求的主机报头返回500时，可能是由于证书配置问题、证书颁发机构问题、服务端配置问题或客户端配置问题引起的。需要仔细检查和排查这些问题，并进行相应的配置修正，以确保mTLS的正常运行。
关于腾讯云相关产品和产品介绍链接地址，由于要求不能提及具体品牌商，建议参考腾讯云的官方文档和产品介绍页面，搜索相关的产品和解决方案，以获取更详细的信息。
相关·内容
我有一个示例应用程序(web-app、后端-1、后端-2)部署在minikube上，所有这些应用程序都是在JWT策略下部署的，它们都有正确的目的地规则、Istio sidecar和MTLS，以确保东西通信的安全。
apiVersion: authentication.istio.io/v1alpha1
kind: Policy
metadata:
name: oidc
spec:
targets:
- name: web-app
- name: backend-1
- name: backend-2
peers:
- mtls: {}
origins:
-
浏览 1提问于2019-11-26得票数 1
1回答
最近，我开始在AWS EKS集群中学习和实现istio。为了配置入口网关的TLS，我遵循了，它只要求您将ARN添加到ingressgateway作为注释。因此，我既不能使用证书来创建secret，也不能使用envoyproxy的SDS。
此设置在网关终止TLS，但我也希望在mesh中启用mTLS，以保护服务-服务通信。通过遵循，我创建了此策略以在命名空间中强制执行mTLS：
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
name: xyz-mtls-policy
namespace: x
浏览 2提问于2020-09-28得票数 2
回答已采纳
是否可以在Istio网关上启用带TLS(mTLS)终止的HTTP/2？然后使用HTTP/2将流量转发到应用程序
浏览 0提问于2020-08-20得票数 3
1回答
我们使用Istio0.7和Istio入口控制器来处理外部世界的要求。我们使用"ClusterIP“类型服务的”外部We“属性来公开kubernetes之外的入口控制器。
Istio侵入控制器Yaml:
apiVersion: v1
kind: Service
metadata:
name: istio-ingress-3
namespace: istio-system
labels:
istio: ingress
spec:
ports:
- port: 80
name: http
- port: 443
name: https
ex
浏览 1提问于2018-06-12得票数 3
1回答
我们正在将现有的k8s服务转换为使用istio & knative。服务接收来自外部用户的请求以及来自集群内部的请求。我们正在尝试设置Istio AuthorizationPolicy以实现以下要求：
某些路径(如docs/健康检查)不需要任何特殊的头或任何东西，必须可以从anywhereHealth访问&必须只有来自集群外部的controllersAny请求(基本上是通过knative-serving/knative-ingress-gateway )才能访问度量集合路径(基本上是通过knative-serving/knative-ingress-gateway)，必须包含匹
浏览 10提问于2022-02-15得票数 0
我有一堆GRPC微服务，它们使用的是自签名证书。我将身份验证信息添加到GRPC通道，然后使用它来识别端点并提供正确的服务。
现在我想迁移到Istio mTLS。
在第一阶段，我让Istio绕过所有GRPC连接，我的服务就像现在一样工作。
在第二阶段，我想将TLS传递给Istio，但我被困在如何将身份验证信息传递给GRPC？
如何在Istio mTLS设置中处理身份验证？
GRPC可以支持，有没有人用它来给GRPC注入Istio身份验证信息？有关如何在您的设置中实现此功能的任何其他建议
我使用go-lang只是为了以防万一，如果这可以提供任何额外的信息。
谢谢
浏览 35提问于2021-06-11得票数 0
回答已采纳
我有一个有趣的问题。我想我已经发现了一个无限的请求循环，它会导致我的istio-proxy在特定的环境中崩溃，并出现OOM错误。
当我在本地直接从应用程序容器内部向应用程序提交请求时，它似乎工作得很好，并且在istio-proxy日志中，我看到upstream_cluster是PassthroughCluster
但是，当我通过我用于SSL终止的特使代理(而不是应用/网格的istio-proxy )提交请求时，该请求似乎会被重试/重复，直到istio-proxy崩溃并出现OOM；我在这些日志中看到的唯一upstream_cluster是inbound|80|myapp
以前有没有人见过这样的东
浏览 2提问于2020-08-27得票数 4
1回答
我有Istiov1.6.4的k8s集群。默认情况下，侧插入是禁用的。我让卡夫卡集群在这个k8s上运行，安装了strimzi操作符。卡夫卡集群的工作没有任何问题时，卡夫卡以及客户端吊舱没有注入Istio代理。我的问题是:当我用kafka客户端和Istio代理注入创建一个吊舱时，我无法连接到Kafka集群。客户端的日志：
java.io.IOException: Connection reset by peer
在服务器端：org.apache.kafka.common.network.InvalidReceiveException: Invalid receive (size = 3692956
浏览 4提问于2020-07-09得票数 7
我对在EKS中使用Istio感到有点困惑。我们有两个spring引导微服务，一个是REST服务提供商，另一个是消费者。我们希望使用Istio实现Authn和authz。
FOr : 1.在提供者服务端:我有一个VirtualService，一个目标规则(声明TLS模式应该是传入流量的ISTIO_MUTUAL )，一个AuthorizationPolicy，它基本上是白名单客户端服务帐户。我还有一个AuthenticationPolicy，如下所示：
apiVersion: "authentication.istio.io/v1alpha1"
kind: "Policy&
浏览 3提问于2020-02-06得票数 0
回答已采纳
2回答
我试图在两个kubernetes集群中获得两个应用程序之间的mTLS，而不像Istio那样(使用它的入口网关)，我想知道下面的方法是否有效(对于Istio、Likerd、Consuer.l.)。
假设我们有一个k8s集群A，一个应用程序A.A，一个集群B，一个应用程序B。我希望他们能和mTLS通信。
集群A具有用于nginx入口控制器的letsEncrypt证书，以及用于其应用的网格(任何东西)。
群集B具有来自根CA的自签名证书。
集群A和B服务网格具有由根CA签名的不同证书。
流量从互联网到集群A入口控制器(HTTPS)，从那里到应用程序A.A。
在流量到达应用程序A.
浏览 2提问于2020-02-29得票数 4
我试图了解mTLS是如何在Istio中实现的，并提出了下面的场景。在我的设置中，我有一个带有两个荚的名称空间foo，如下所示：
NAME READY STATUS RESTARTS AGE
httpbin-75b47445c9-gscrn 2/2 Running 0 1d
sleep-6777b55c98-tlqb6 2/2 Running 0 1d
我的要求是从httpbin检索sleep的公共证书(只是为了测试目的)。
因此，我在睡眠中得到一个交互式shell并
浏览 0提问于2018-11-30得票数 0
回答已采纳
我在spring boot应用程序中有一个RESTful服务。这个spring boot应用程序部署在kubernetes集群中，我们将Istio作为服务网格附加到集群中每个容器pod的sidecar上。对我的服务的每个请求首先到达服务网格，即Istio，然后进行相应的路由。
我需要对请求标头进行验证，如果该标头不存在，则随机生成一个唯一值并将其设置为请求的标头。我知道可以在目标规则中使用Headers.HeaderOperations，但如何在每次缺少标题时生成唯一值？我不想在我的应用程序中编写逻辑，因为这是适用于集群中所有应用程序的一般规则
浏览 3提问于2020-01-24得票数 2
我已经在中尝试了以下配置。
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
meshConfig:
defaultConfig:
gatewayTopology:
forwardClientCertDetails: ALWAYS_FORWARD_ONLY
如果我使用httpbin服务通过发送一个带有客户端证书的请求来测试，如下所示：
curl -v https://<my-FQDN>/headers --cacert CAcert.pem --cert clien
浏览 18提问于2021-05-27得票数 1
我使用Helm在一个新的GKE集群上安装了Istio1.1RC，并启用了mTLS (一些选项省略了，比如Grafana和Kiali)：
helm template istio/install/kubernetes/helm/istio \
--set global.mtls.enabled=true \
--set global.controlPlaneSecurityEnabled=true \
--set istio_cni.enabled=true \
--set istio-cni.excludeNamespaces={"istio-system"} \
浏览 0提问于2019-02-21得票数 1
回答已采纳
2回答
我正在尝试通过 + 访问该。
然而，当我尝试使用浏览器访问仪表板时，我得到的只是404 page not found。通过k8s NodePort或k8s LoadBalancer服务访问仪表板就像预期的那样工作。然而，吊舱在日志中抱怨http: TLS handshake error from 127.0.0.6:52483: remote error: tls: bad certificate。
通过Istio运行httpbin (在他们的文档中给出)就像预期的那样，所以Istio看起来也很好。
我正在使用官方的库伯内特斯仪表盘YAML-s。我正在提供下面的服务(添加了type: Load
浏览 10提问于2022-03-26得票数 1
我正在尝试在我的网格中启用mTLS，我已经使用了istio的侧翼。我的问题是，我只是得到工作连接到一个点，然后它无法连接。
mTLS (简化)的失败实现现在就是这样设置服务的：
Istio IngressGateway -> NGINX pod -> ->网关->服务-> 数据库 ->服务B
首先要注意的是，我使用一个NGINX作为负载均衡器来proxy_pass我的请求到我的API或我的前端页面。我试着在没有istio IngressGateway的情况下保存它，但是我无法使它工作。然后，我尝试使用Istio IngressGateway，并使用Virtu
浏览 0提问于2019-08-29得票数 1
回答已采纳
我在此设置中配置了Azure应用程序网关和API管理-应用程序网关是公共端点，只有定义的路由才被传递到Application。
我想使用ip-filter策略来限制对某些IP地址的调用。但是，当调用通过应用程序网关时，原始客户端IP地址将丢失或混淆到IP 0.0.0.0中。
是否有办法保留原来的客户端IP地址，并将其从应用程序网关传递到API管理？
浏览 9提问于2019-11-18得票数 8
回答已采纳
我有一个名称空间ns-restriction-demo-2中的DB和一个nodeJs应用程序，它从名称空间ns-restriction-demo-1中使用该数据库。因此，我试图添加授权，即DB只能通过一个名称空间(ns-限制-dem-1)访问，但是当我启用混频器日志时，我意识到源属性是不同的。
{
"level": "warn",
"time": "0001-01-01T00:00:00.000000Z",
"instance": "newlog.instance.ns-restriction-
浏览 5提问于2019-10-02得票数 0
用例:我有两个服务在带有Istio 1.0的premisses k8s集群上运行，即带有port: 5601的Kibana和带有port:3000的Grafana。
需要使用基于路径的路由来路由这些服务。期望是，使用单个网关需要使用路径分离来访问这两个服务。
示例：和
我尝试了以下配置，但它不起作用。
gateway.yaml
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
name: gateway
spec:
selector:
istio: ingressgateway # use isti
浏览 43提问于2018-08-13得票数 0
1回答
我已经在Kubernetes上使用Istio 1.0.4实现了用于服务到服务安全性的mTLS。是否有指定Citadel使用的密码和TLS版本的配置？
浏览 21提问于2019-01-11得票数 1
回答已采纳
(客户机/服务器使用Istio 0.5.1，kubectl 1.9.1/1.9.0，minikube 0.25.0)
我试图让Istio EgressRules与Kubernetes服务一起工作，但遇到了一些麻烦。
我尝试设置EgressRules 3种方式：
指向另一个域的ExternalName服务(如www.google.com)
没有选择器的服务，但有关联的端点对象(用于具有IP地址但没有DNS名称的服务)
(比较而言)没有Kubernetes服务，只是一个EgressRule
我想我可以使用kubernetes服务的FQDN作为基于HTTP的EgressRule目
浏览 0提问于2018-03-14得票数 1
回答已采纳
1回答
我试图将运行在k8s上的Istio服务网格从http转换为https，但遇到了许多问题。我真的不明白要这么做需要采取什么步骤。
据我所知，有两种流量需要一个网格中的TLS：
内部服务之间的：搜索Istio让我知道Istio将以某种方式在服务之间自动配置mTLS，这样它们都可以安全地通信而不需要任何额外的配置。但是，我仍然不太明白他们是如何实现这个mTLS的。它与普通的TLS有什么不同，mTLS在其他类型的流量(客户端到内部服务)中扮演什么角色？
从客户端到内部的服务:这是我不知道该做什么的地方。我知道，为了使服务具有TLS，它需要可信CA的TLS证书。但是，由于外部客户端不会直
浏览 0提问于2021-09-20得票数 1
2回答
我正在构建一个无服务器应用程序，我的SPA托管在S3上，我的API在lambda的前端由API网关完成。相当标准的东西。现在，我希望我的cloudfront发行版位于S3和API网关前面，以便它们位于相同的域上，从而防止来自我的SPA的CORS预飞请求。
我认为，将cloudfront转换为非缓存模式的最简单方法是转发所有头文件。不幸的是，当我通过设置行为来做到这一点时，我开始得到cloudfront错误403。我被迫发送缓存控制头(从我的lambda‘缓存-控制’：‘无缓存，无存储，必须重新验证’)，以防止缓存。
通过cloudfront请求API网关：
GET - https://dev.
浏览 4提问于2017-04-15得票数 2
回答已采纳
2回答
我正试图在我的本地wsl2和码头办公桌上运行bookinfo示例。当我试图通过网关访问产品页面服务时，由于连接被拒绝，我遇到了问题。我不确定我是否错过了什么。以下是我在网上搜索了很多之后所做的事情
部署了所有来自bookinfo示例的服务，并且都在运行中，我可以使用kubectl exec从其他服务编译产品页。
使用示例中的文件部署bookinfo网关，在默认命名空间下不进行任何更改
Name: bookinfo-gateway
Namespace: default
Labels: <none>
Annotations: <
浏览 1提问于2021-06-07得票数 0
更新:这个问题只出现在docker-for-mac上
我已经追寻这个问题有一段时间了--如何打开Istio的外部端口。
请注意，所有这些都适用于port 80，为什么不适用于port 8080
使用helm，我更改了values.yaml网关中的值：
- port: 80
targetPort: 80
name: http2
# nodePort: 31380
- port: 8080
targetPort: 8080
name: http2-testport
# nodePort: 31480
我已经创建了一个Istion网关：
# Istio - Gateway
浏览 9提问于2018-09-05得票数 0
总之，我正在计划我的服务处理它们自己的授权，因为它涉及内部授权，即…。用户是否可以访问特定的对象(内容:1234)
我认为Istio安全正在发生的事情是它处理以下问题
它可以在我的任何服务被击中之前验证JWT令牌。
它可以授权请求被允许调用请求服务。
我相信我实际上可以用Istio生成JWT令牌。
我想确定我对上述问题的看法是正确的，并提出另外两个问题。
我计划在令牌中包含角色，这就是我的服务处理本地安全的方式，就像我前面提到的ie…用户可以访问内容:1234。这个是可能的吗？我该怎么做？我是否将Istio连接到我编写的代码或我编写的MicroServcie？对此感到困
浏览 3提问于2020-01-24得票数 2
1回答
为AWS中运行的Go执行mTLS
、、、、
当前有一个Go HTTP，它使用github.com/gin-gonic/gin库来执行mTLS，如下所示：
router := gin.New()
router.GET("/ping", handlers.GinHandler{GC: globalConf, H: handler.Ping}.Handle())
// I'm checking errors but just for simplicity it's ommitted
caCert, _ := ioutil.ReadFile("ca.crt")
caCertPool, _ :=
浏览 12提问于2022-10-07得票数 2
1回答
带istio的Jager
、、、
我在使用jaeger和Istio时遇到了困难。
谁能描述一下在为任何演示应用程序配置jaeger和istio时要遵循的步骤。我已经尝试了一些博客和网站，但不幸的是，没有一个对我有效。如果有人能在这方面帮我，那就太好了。
浏览 23提问于2019-08-13得票数 0
回答已采纳
1回答
我有几个微型服务并且使用istio。并且由于某些业务需求，需要每个微服务中的最终用户角色详细信息。我想知道如何在请求头中填充声明(最终用户角色) (jwt)。我在下面配置了istio。
outputPayloadToHeader此元素帮助填充标头中的承载令牌。Istio刚刚验证了jwt (无记名)。但是想知道如何配置在请求头中填充jwt有效负载元素。我已经附加了屏幕快照，有效载荷属性应该被传播到请求头。这样，我的微服务(想要的名称("Gaurav“))将从标题中读取。是否存在RequestAuthentication或任何其他方式的配置？
apiVersion: securi
浏览 1提问于2021-11-27得票数 0
GET /calcuapp/calculator.jsp HTTP/1.1
Host: 192.168.1.66:8080
我正在使用PuTTy，并且已经在设置上设置了主机目的地。为什么我需要再次键入主机目的地，正如您在上面看到的那样？
浏览 3提问于2016-07-17得票数 1
回答已采纳
假设我有两个主机，主机A和主机B，主机A向B发送一个1500字节的数据包，它们之间有两个路由器，第一个链路的MTU为800字节，第二个链路的MTU为500字节。
据我所知，这两次数据包都必须分段。数据包必须被分成3个数据包(2个大小相等的数据包和一个更小的数据包)。
然后，当我们到达第二个路由器时，我们将再次对前两个分段的数据包进行分段。前两个原始片段将产生一个较大的片段(接近500字节)和一个较小的片段。
这就是我困惑的地方。
我知道，除了最后一个片段之外，所有前3个片段上的'More Fragment‘位都应该设置为1，这表明数据包是片段的一部分，直到并包括下一个设置为0的'
浏览 2提问于2012-11-07得票数 3
回答已采纳
我有一个nginx入口控制器，并向他公开服务，我们计划将istio更改为入口流量。
我有一个包含代码片段的入口规则：
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
annotations:
nginx.ingress.kubernetes.io/rewrite-target: /$1
nginx.ingress.kubernetes.io/server-snippet: |
location ~* "^/" {
proxy_pass "https://1
浏览 7提问于2021-05-12得票数 0
我有一个带有mtls和服务注册表的istio 1.1.3，在一个kubespray k8集群上。我希望确保所有传出流量的安全，因此我为我的服务想要与之对话的每个外部服务创建服务条目。
我想使用istio-proxy日志来查看所有类型流量的阻塞通信尝试。
如果我从容器内卷曲到一个(被阻塞的) ，我在istio-proxy日志中看到404NR。同样，curl接收404。不出所料
如果我将调用更改为使用https和curl (仍然被阻止) ，我会看到以下curl错误(35)未知google.com:443协议错误，并且istio-proxy日志中没有显示任何内容(为什么没有？)
如何在istio-p
浏览 3提问于2019-06-04得票数 0
我有一个Kubernetes集群，它使用Istio作为服务网格和Metallb提供的负载平衡。我在Istio命名空间中的集群上运行了4个istio加载项(Prometheus、Kiali、Grafana和Jaeger)，但是在虚拟机上运行firefox相对比较慢，而且我也不希望依赖"istioctl仪表板“命令来访问我的监视工具。
通过使用putty隧道和使用带有网关/虚拟服务资源的ingressgateway，我已经成功地访问了Kiali和Grafana，类似于Istio文档中的那些- 。istio ingressgateway pod正在监听10.10.1.10，我的putty隧道
浏览 16提问于2022-11-17得票数 0
回答已采纳
我创建了以下CloudFront原产地请求策略：
📷
我需要Authorization头(没有Authorization头，AntiForgeryToken头不会被转发)，但是我不明白为什么CloudFront不允许将Authorization头添加到策略中？
我得到以下错误：
400参数标头包含不允许的授权。
我遵循本文件并将Authorization头添加到缓存策略中，但仍然没有在请求中获得AntiForgeryToken .
如果我使用遗留缓存策略(而不是创建自己的自定义策略)，那么我能够白名单授权头，但不知道为什么我不能在自己的自定义策略中这样做？
📷
浏览 0提问于2021-02-16得票数 2
我很困惑，为什么我们需要在ARP数据包中的mac地址，而我们可以从以太网报头中提取它。只需保持IP地址和其他字段不变并删除MAC地址即可。我们可以从以太网中提取它们。我是不是遗漏了什么。
谢谢。
浏览 1提问于2012-02-14得票数 0
我是新来Hashicorp Vault的。我想知道是否有一种方法可以利用SPIFFE协议自动向Vault进行身份验证，这样基于vault客户端的mTLS证书，Kubernetes/Istio中的工作负载就可以作为特定用户(实体？)访问Vault。或组。发出请求的k8s工作负载只能根据其SPIFFE身份的存储库权限访问存储库机密。 我希望不需要传递保险库凭证(令牌、密码等)，访问将完全在mTLS连接和SPIFFE协议上授予。这样的事情有可能发生吗？如果Vault位于Kubernetes集群之外(因此不能有Istio sidecar)，有什么选择？ 如果我问的不可能，一个不太理想的解决方案是更新
浏览 26提问于2021-03-28得票数 0
回答已采纳
1回答
在项目中，假设我将的值设置为hello
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
name: hello-k8s
spec:
hosts:
- ???
http:
- name: hello-k8s
match:
- uri:
prefix: /
route:
- destination:
host: hello # <-----
浏览 3提问于2021-02-25得票数 1
1回答
我正在创建istio服务网格，然后尝试从istio pod调用外部服务。 我按照链接中的步骤操作 https://istio.io/docs/tasks/traffic-management/egress/egress-gateway-tls-origination/ 直到 2 Verify that your ServiceEntry was applied correctly by sending a request to http://edition.cnn.com/politics. 而不是"edition.cnn.com"，而是我的服务。 当我尝试在我的pod中做c
浏览 38提问于2020-02-02得票数 0
回答已采纳
1回答
我们有一个带有IIS 7的Windows 2008服务器来测试我们为客户开发的站点。每个站点在子域上都有一个绑定：
clienta.example.comclientb.example.comclientc.example.com
(*使用example.com保护无辜)
对于其中一个站点，我们现在必须测试它是否在https上工作。
因此，我创建了一个以*.example.com作为通用名称的证书请求。我已经收到证书(由PositiveSSL SA颁发)并完成了申请。证书现在已安装在IIS中。
现在，我使用以下设置向第二个站点添加了https绑定：
类型: https IP地址:所有未分配端
浏览 8提问于2011-03-04得票数 0
回答已采纳
1回答
我创建了一个ALB和一个目标群体。
ALB在80上有一个侦听器。这会将其转发给我的目标组，而目标组又将其发送到端口9000上的已注册实例。
我试图添加一个基于路径的规则如下：
然而，当我点击<alb-dns-name>时，我确实会被重定向到我的注册实例。
当我尝试<alb-dns-name>/portainer时，我得到了404。
我错过了某物吗？
浏览 1提问于2018-11-20得票数 2
回答已采纳
我的服务网格上有这样的配置：
mTLS全局启用和meshpolicy默认设置
在端口8080上以集群方式公开的简单web部署
端口80的http网关和我的服务上的虚拟服务路由
在这里gw和yaml
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
name: http-gateway
spec:
selector:
istio: ingressgateway # Specify the ingressgateway created for us
servers:
- po
浏览 0提问于2019-10-11得票数 0
回答已采纳
1回答
我有一个禁用了mtls的Istio网格，它有以下pod和服务。我正在使用kubeadm。 pasan@ubuntu:~$ kubectl get pods --all-namespaces
NAMESPACE NAME READY STATUS RESTARTS AGE
default debug-tools 2/2 Running
浏览 14提问于2019-01-04得票数 0
回答已采纳
所以我有一个cloudfront发行版，它路由到一个api网关端点，而后者又路由到lambda。
然后我有几个cname可以用来到达这个云层前线。
如何在api网关和/或lambda中检索用于访问云前端的原始域。
我希望cloudfronts添加的一些头文件将指示请求所通过的域。
浏览 0提问于2019-04-03得票数 1
我一直在试验Apache mod_proxy和mod_remoteip，以证实我对处理X转发的头的理解，特别是关于内部IP地址(例如10.x.x.x或192.168.x.x范围)的处理。
似乎mod_proxy并不总是将内部IP地址添加到X转发的头中，但我一直找不到任何文档来解释这种情况的预期行为。
据我所知，当请求从内部IP地址发起时，mod_proxy将将内部IP地址添加到X转发的报头中，但当初始请求来自公共IP时，mod_proxy似乎不会将任何内部IP地址添加到X转发-For。
问题
我的问题是:控制mod_proxy是否将呼叫IP地址附加到X转发-For报头的规则是什么。
说：
在
浏览 0提问于2016-11-03得票数 1
回答已采纳
“我的测试环境群集”具有以下配置：
全局网格策略(由我们的组织作为集群设置的一部分安装)：kubectl describe MeshPolicy default的输出
Name: default
Namespace:
Labels: operator.istio.io/component=Pilot
operator.istio.io/managed=Reconcile
operator.istio.io/version=1.5.6
release=istio
Annotations
浏览 1提问于2020-07-29得票数 3
回答已采纳
我有一个容器，它运行一个需要基本auth的http/rest服务。我已经将istio配置为服务到这个容器的请求。服务在没有istio的集群上正确运行。
当使用curl查询服务时，istio公使返回状态401和消息“访问此资源需要完全身份验证”。
我可以通过登录容器和查询本地主机获得相同的错误，而不提供任何身份验证细节。因此，从表面上看，istio似乎没有在基本身份验证头上转发。
容器日志永远不承认登录尝试，我只在特使容器中看到401日志消息。
我尝试过启用和禁用mtls。网关在端口443上侦听并转发到端口80上的服务。
如何配置istio将基本auth转发到我的容器
apiVersion: n
浏览 4提问于2020-04-17得票数 1
ISTIO版本:1.9.4EKS集群版本: 1.14
我们已经在我们的项目中部署了ISTIO应用网格。我们使用istio的文档(即 )部署了外部授权。
使用的外部授权程序(如上面的文档所述)：
当我们从另一个API的荚中访问任何API时(即通过http)，使用curl命令，所有这些都可以正常工作。External服务获得调用，所有标头都传递给外部授权程序的v3检查方法。下面的信息被传递给源、主体、目标、标题:权限、方法、路径、接受、内容长度、用户代理、x-b3抽样、x-b3-spanid、x-b3-traceid、x-使节-尝试-计数、x-ext-authz、x转发-客户端-certx转发-p
浏览 3提问于2021-07-07得票数 0
7回答
我发现了一些关于X-Forwarded-*头的有趣的阅读，包括Apache文档中的部分，以及。
我了解到：
X-Forwarded-For给出连接到代理的客户端的地址。
X-Forwarded-Port给出了客户端在代理上连接的端口(例如80或443)
X-Forwarded-Proto给出了客户端连接到代理的协议(http或https)。
X-Forwarded-Host给出客户端发送给代理的Host头的内容。
这些都有道理。
但是，我仍然无法找到X-Forwarded-Host的实际用例。我理解需要在不同的端口或使用不同的方案重复连接，但是为什么代理服务器在向目标服
浏览 4提问于2013-09-29得票数 70
回答已采纳
Chrome浏览器将我的所有域和子域请求重定向到HTTPS，在我的情况下，这是不需要的行为。根据，这是添加到chrome浏览器到域和所有子域的HSTS策略。
我正在使用Istio版本1.7.4，并注意到Istio入口网关添加了导致此问题的报头严格传输安全性。
strict-transport-security: max-age=15552000; includeSubDomains
如何从入口网关删除此标头？
浏览 2提问于2021-02-22得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
