gRPC、NodeJS、mTLS istio引发SSL错误 - 腾讯云开发者社区

假设从客户端访问一个 Redis 集群，采用带 Cluster IP 的普通 Service 和 Headless Service 的过程分别如下图所示： Istio 中『无头服务』的 mTLS 故障...kubectl exec redis-client-6d4c6c975f-bm5w6 -c istio-proxy curl http://127.0.0.1:15000/config_dump 由于是出向访问错误...# mTLS 相关的配置 "transport_socket_matches": [ { "name": "tlsMode-istio",..."match": { "tlsMode": "istio" #对带有 "tlsMode": "istio" lable 的 endpoint，启用 mTLS },...这样同时兼容了服务器端支持和不支持 mTLS 两种情况。下图展示了 Istio 中是如何通过 endpoint 的标签来兼容 mTLS 和 plain TCP 两种情况的。

7952 0

Istio 运维实战系列（2）：让人头大的『无头服务』-上

Istio 中『无头服务』的 mTLS 故障由于 Headless Service 的特殊性，Istio 中对 Headless Service 的处理和普通 Service 有所不同，在应用迁移到...kubectl exec redis-client-6d4c6c975f-bm5w6 -c istio-proxy curl http://127.0.0.1:15000/config_dump 由于是出向访问错误... # mTLS 相关的配置 "transport_socket_matches": [ { "name": "tlsMode-istio", ..."match": { "tlsMode": "istio" #对带有 "tlsMode": "istio" lable 的 endpoint，启用 mTLS }, ...这样同时兼容了服务器端支持和不支持 mTLS 两种情况。下图展示了 Istio 中是如何通过 endpoint 的标签来兼容 mTLS 和 plain TCP 两种情况的。 ?

3.6K27 10

您找到你想要的搜索结果了吗？

是的

没有找到

【译文连载】理解Istio服务网格（第七章安全）

7.1.2 mTLS（双向TLS）传输层安全性协议（Transport Layer Security，缩写TLS）及其前身安全套接层（Secure Sockets Layer，缩写SSL）是一种安全协议...Netscape公司在1994年推出HTTPS协议，以SSL进行加密，这是SSL的起源。SSL包括1.0，2.0和3.0等三个版本。...ServiceRole定义了一组规则（rule），每条规则包括service（目标服务）、method（访问服务的方法）、path（HTTP路径或gRPC方法）等字段。...请注意，使用Istio RBAC之前要启用mTLS，因为服务器端要利用mTLS获取客户端的身份信息。...水平有限，错误肯定是有的，还请海涵。

1.1K2 0

Istio Helm Chart 详解 - Mixer

端口方面，两个服务都开放了 grpc-mixer、grcp-mixer-mtls 以及 http-monitoring 三个端口： grpc-mixer: 9091：用于 Mixer 的 gRPC API...grpc-mixer-mtls: 15004：启用 mtls 的时候使用的 API 端口。如果启用了 controlPlaneAuthPolicy，则使用该端口进行 Mixer API 通信。...rule： stdio：定义一条规则，将 http 和 grpc 协议的访问日志，用 accesslog 的样式输出到 stdio。...stdiotcp：定义一条规则，将 http 和 grpc 协议的访问日志，用 tcpaccesslog 的样式输出到 stdio。...promhttp：将 http 和 grpc 协议产生的 requestcount、requestduration、requestsize 以及 responsesize 四种指标送入前面建立的 Prometheus

7522 0

在 Intenseye，为什么我们选择 Linkerd2 作为 Service Mesh 工具(Part.1)

我们在用 Scala、Go、Python 等编写的 Kubernetes 上运行了数百个 pod，其中大多数使用 gRPC。...经过一些研究和 PoC，我们决定在 Istio、Consul 和 Linkerd2 之间使用 Linkerd2。...除了我们正在寻求的功能之外，与 Istio 和 Consul 相比，我们选择 Linkerd2 有 3 个原因。...（L7 LB、mTLS、traffic metrics 等）：轻量级（低 CPU 和内存消耗）低延迟延迟感知 LB Istio 有很多不错的功能（感谢 Envoy 代理），但我们并不需要所有这些功能...问题 2：mTLS 感谢 Linkerd2 的 mTLS 功能，我们像 Thanos(灭霸) 一样，像弹指一样保护了微服务之间的内部通信。 Linkerd2 每 24 小时自动轮换一次证书。

4322 0

Istio 安全基础

Istio 通过 Istiod 和 pilog-agent 之间的 gRPC 通道传递 CSR 和证书，因此在这两个组件进行通信时，双方需要先验证对方的身份，以避免恶意第三方伪造 CSR 请求或者假冒...", "grpc_services": [ { "envoy_grpc": { "cluster_name...模式事实上当 Istio 自动将代理和工作负载之间的所有流量升级到双向 TLS 时，工作负载仍然可以接收明文流量，如果想要禁用非 mTLS 的通信流量，我们可以使用一个 PeerAuthentication...mtls: mode: STRICT # STRICT 模式表示只允许 mTLS 对等认证策略指定 Istio 对目标工作负载实施的双向 TLS 模式。...这是因为我们在 legacy 命名空间下的 httpbin 服务没有 Envoy Sidecar，所以它不会被 Istio 管理，也就不会被强制要求使用 mTLS 了，所以我们可以直接访问它。

3061 0

eBay基于Istio的应用网关的探索和实践

作为应用网关控制器：管理应用L7规则自动化生成eBay证书管理和注入sidecar 网格内部请求mTLS 基于Istio的应用网关实践 Istio单集群多环境部署非生产环境：Feature/LnP...集群证书管理网关证书集成eBay CA，secret保存证书Ref Istiod集成cert agent SDS通过cert agent GRPC获取证书和key推送到IngressGateway...E2E TLS) 可用性要求不高 2）同时支持API Gateway和Mesh 应用配置独立Gateway VIP External访问API Gateway为Simple TLS Mesh内部访问为mTLS...基于Istio网关的集中日志系统CAL CAL日志系统集成Mesh 不同网格同时部署应用以及日志服务器同时注入sidecar到应用端以及日志系统服务端网格内部mTLS实现日志脱敏南北流量转成东西流量...集成软件防火墙 Managed Stack全面集成Mesh Managed Stack是使用eBay框架的应用，包括Java, Java Web, Batch以及NodeJS应用生产环境应用数量超过

1.4K3 2

Istio的运维-诊断工具(istio 系列五)

Istiod XDS and CA services (plaintext) 15012 GRPC Istiod XDS and CA services (TLS) 8080 HTTP Istiod...Pilot reports that pod enforces HTTP/mTLS and clients speak mTLS 输出为：应用到ratings 服务的ratings destination...$ istioctl x describe pod $RATINGS_POD Pilot reports that pod enforces mTLS and clients speak mTLS 有时...配置中潜在错误的诊断工具，它可以诊断现有的集群或一组本地配置文件，会同时诊断这两者。...stdout 和stderr分别表示标准输出和标准错误输出流。日志滚动 istio组件能够自动管理日志滚动，将大的日志切分为小的日志文件。--log_rotate选项允许指定用于滚动的基本文件名。

2.9K3 0

Istio架构、技术栈及适用场景

Envoy代理拦截并管理微服务之间的所有网络通信，执行诸如服务发现、负载均衡、流量路由、熔断、健康检查、加密通信（mTLS）等任务。...- 安全通信：通过相互TLS（mTLS）来实现服务间通信的安全性。...服务间通信协议 - HTTP/1.x、HTTP/2、gRPC等，Istio支持多种通信协议，确保服务间的兼容性和灵活性。 7....安全通信：通过默认启用mTLS，Istio增强了服务间通信的安全性，实现了端到端的加密和身份验证，降低了数据泄露的风险。 3....但随着服务数量增加，Istio提供的服务网格功能会显得尤为重要。 - 安全性需求：如果项目对安全性和合规性有严格要求，Istio的内置安全特性（如mTLS）会是一个重要加分项。

3751 0

istio 常见异常分析

原因 service mesh 遥测系统中，对调用链跟踪的实现，并非完全的零入侵，需要用户业务作出少量的修改才能支持，具体地，在用户发出（http/grpc） RPC 时，需要主动将上游请求中存在的...---- 9. mTLS 导致连接中断在开启 istio mTLS 的用户场景中，访问出现 connection termination 是一个高频的异常：这个异常的原因和 DestinationRule...中的 mTLS 配置有关，是 istio 中一个不健壮的接口设计。...中可以覆盖子版本的 mTLS 值(默认是不开启！)...属性并设置为开启这种 istio mtls 用户接口极度不友好，虽然 mtls 默认做到了全局透明，业务感知不到 mtls 的存在，但是一旦业务定义了 DestinationRule，DestinationRule

3.7K6 2

Istio Egress 出口网关使用

TLS 与 mTLS 基本概念前面我们学习了如何通过配置 Istio 实现对外部服务的 TLS 发起，这里其实还有一个 mTLS 的概念呢，由于 TLS 本身就比较复杂，对于双向 TLS（mTLS）就更复杂了...HTTPS 工作流程当然双向 TLS 就更为复杂了，Mutual TLS（双向 TLS），或称 mTLS，对于常规的 TLS，只需要服务端认证，mTLS 相对来说有一个额外的规定：客户端也要经过认证。...在 mTLS 中，客户端和服务器都有一个证书，并且双方都使用它们的公钥/私钥对进行身份验证。...但是在某些情况下，服务器确实需要验证客户端的身份，例如，当客户端需要访问某些敏感数据时，服务器可能需要验证客户端的身份，以确保客户端有权访问这些数据，这就是 mTLS 的用武之地，mTLS 是保证微服务之间跨服务通信安全的好方法...，需要客户端证书才能访问，现在我们的网格中是没有对应的客户端证书的，会出现 400 错误。

4382 0

Istio 0.8 的 Helm Chart 解析

儿童节期间，拖拉了一个多月的 Istio 0.8 正式发布了，这可能是 Istio 1.0 之前的最后一个 LTS 版本，意义重大。...使用 Helm 安装 Istio 安装包内的 Helm 目录中包含了 Istio 的 Chart，官方提供了两种方法：用 Helm 生成 istio.yaml，然后自行安装。...的镜像名称 proxyv2 global.imagePullPolicy 镜像拉取策略 IfNotPresent global.controlPlaneSecurityEnabled 控制面是否启动 mTLS...false global.mtls.enabled 服务间是否缺省启用 mTLS false global.mtls.mtlsExcludedServices 禁用 mTLS 的 FQDN 列表 -...Service：开放两个端口，分别服务于 http 和 gRPC。 servicegraph Service Graph 支持，和 Grafana 基本一致。

6831 0

Service Mesh: Istio vs Linkerd

Envoy提供以下功能：动态服务发现、负载均衡、TLS终止、HTTP / 2和gRPC代理、断路器、健康检查、分阶段推出，并按百分比分配流量、故障注入、以及丰富的指标。...它提供了mTLS功能。...支持协议 gRPC，HTTP / 2，HTTP / 1.x，Websocket和所有TCP通信 gRPC，HTTP / 2，HTTP / 1.x，Websocket和所有TCP流量入口控制器 Envoy...支持基于百分比的流量拆分，支持基于报头和路径的流量拆分支持EWMA（指数加权移动平均）负载平衡算法，通过SNI支持基于百分比的流量拆分弹性中断、重试和超时，故障注入，延迟注入无中断、无延迟注入安全 mTLS...除了TCP之外，还支持mTLS，可以使用外部CA /密钥，但尚不支持授权规则性能在最近的1.6版本中，Istio的资源占用越来越多，延迟得到了改善 Linkerd的设计非常轻巧-根据第三方基准，它比

7632 0

Istio Helm Chart 详解 - Pilot

前言 Pilot 也是 Istio 的核心组件，负责以下任务：监听注册中心，例如 Kubernetes 中的服务信息变化。监听 Istio 的路由相关 CRD 资源。...rbac.istio.io/* 只读 RBAC 相关配置。 networking.istio.io/* * 流量控制相关配置。 authentication.istio.io * 认证策略相关配置。...主机时，如果端口为 15011，则指向 istio-pilot.istio-system.svc.cluster.local。...istio-pilot 明文端口、istio-pilot mTLS 端口以及 DNS 服务的 53 端口。...service.yaml 这里并无特殊设置，开放如下几个端口： 15010：gRPC 的 xDS 端口 15011：mTLS 的 xDS 端口 8080：传统 http 端口 9093：监控端口总结

9592 0

Dapr | 云原生的抽象与实现

Sentry: 为 dapr 系统中的工作负载提供基于 mtls 的安全通信。mtls 能强制通信双方进行身份认证，同时在认证之后保证通信都走加密通道。...除了 dapr sidecar 之间的自动 mTLS 之外，sidecar 和 dapr 控制面服务之间也是强制性的 mTLS。...为了尽可能提高通信效率，dapr sidecar 之间的通信固定使用 gRPC 协议。...而在 dapr 里必须显示发起调用，所有调用都是会转为 gRPC，不需要考虑协议扩展。...一些重叠的功能点：服务通信 mTLS 遥测重试 Istio 和 Dapr 进一步比较 istio 有强大的流量管控能力，这些是 dapr 不具备的。

1.4K2 0

Kubernetes中使用mTLS保护微服务通信

Istio 安装。由于我们将使用 Istio 来实现 mTLS，所以您需要在 Kubernetes 集群中安装 Istio。按照与您的环境相关的 Istio 安装文档操作。 Helm(可选但推荐)。...Istio 的 mTLS 功能通常依赖于有效的域名来生成证书。如果您正在为类似生产的环境设置 mTLS，拥有有效的域名(或使用通配符证书)将有助于确保更顺利的实施。访问 Istio 文档。...步：配置 mTLS Istio 的 DestinationRule 资源对于配置 mTLS 至关重要。...通过自动化证书管理，可以减轻潜在的人为错误，并简化整个过程。 Citadel 在消除手动干预方面的作用不仅提高了运营效率，还有助于安全基础设施的可靠性。此外，自动化方法可以确保整个集群的一致性。...请始终参考 Istio 最新官方文档。接下来呢？随着您深入了解 mTLS，请探索 Istio 等服务网格提供的更广泛利益。Istio 不仅提供 mTLS，还提供全套安全和可观测性工具。

1611 0

istio 庖丁解牛(一) 组件概览

进程为galley server ......, 主要监听端口: --server-address galley gRPC 地址, 默认是tcp://0.0.0.0:9901 --validation-port...主要监听端口: 15010: 通过grpc 提供的 xds 获取接口 15011: 通过https 提供的 xds 获取接口 8080: 通过http 提供的 xds 获取接口, 兼容v1版本, 另外..., 它们分别包含2个容器: sidecar containeristio-proxy mixer: 进程为 mixs server …… 主要监听端口: 9091: grpc-mixer 15004:...grpc-mixer-mtls --monitoring-port: http self-monitoring 端口, 默认 15014, liveness 探针/version 3.7 istio-citadel...主要监听端口: --grpc-port citadel grpc 端口, 默认8060 --monitoring-port : http self-monitoring 端口, 默认 15014, liveness

2.2K5 0

Istio 组件概览

进程为galley server ......, 主要监听端口: --server-address galley gRPC 地址, 默认是tcp://0.0.0.0:9901 --validation-port...主要监听端口: 15010: 通过grpc 提供的 xds 获取接口 15011: 通过https 提供的 xds 获取接口 8080: 通过http 提供的 xds 获取接口, 兼容v1版本, 另外..., 它们分别包含2个容器: sidecar containeristio-proxy mixer: 进程为 mixs server …… 主要监听端口: 9091: grpc-mixer 15004:...grpc-mixer-mtls --monitoring-port: http self-monitoring 端口, 默认 15014, liveness 探针/version 3.7 istio-citadel...主要监听端口: --grpc-port citadel grpc 端口, 默认8060 --monitoring-port: http self-monitoring 端口, 默认 15014, liveness

1.7K2 1

听GPT 讲Istio源代码--pilot(3)

parseStatusOnError函数用于解析错误时的状态码。 generateHTTPConfig函数用于生成HTTP的配置。 generateGRPCConfig函数用于生成gRPC的配置。...NewMtlsPolicy函数：这个函数用于创建并返回一个基于Mtls的验证策略实例。Mtls是一种基于云原生架构中服务间相互信任和相互验证的安全机制。...文件是一个代码生成器，用于生成Istio Pilot的gRPC服务代码。...它通过分析Protobuf定义文件来生成对应的gRPC服务接口、类型和数据结构等。详细解释如下： log变量：log变量是用于记录生成过程中的日志信息，可以用于调试和错误记录。...这个函数在生成gRPC代码时会被用到。

1914 0

使用服务网格增强安全性：Christian Posta探索Istio的功能

此外，在每种语言中找到的实现之间很难保持一致性，更不用说在需要更改或发现错误时同步升级它们了。围绕可靠性、可观察性和策略执行的许多挑战都是非常横向的关注点，而不是业务差异。...错误配置这种类型的东西是非常危险的。Istio提供了一些帮助。Istio在每个应用程序实例旁边部署sidecar代理(基于特使代理)，用于处理应用程序的所有网络流量。...它通过一些Istio配置自动完成。 Using Istio to enable mTLS Istio遵循与Kubernetes相同的配置路径。...但是要使用mTLS，我们还需要告诉客户在调用服务时使用mTLS。为此，我们将使用Istio DestinationRule。...Istio实现的另一个好处是该请求也受到了mTLS的保护。这有助于保护JWT令牌不会被泄漏，并用于某些重放攻击。

1.4K2 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

Istio 运维实战系列（2）：让人头大的『无头服务』-上

Istio 运维实战系列（2）：让人头大的『无头服务』-上

【译文连载】理解Istio服务网格（第七章安全）

Istio Helm Chart 详解 - Mixer

在 Intenseye，为什么我们选择 Linkerd2 作为 Service Mesh 工具(Part.1)

Istio 安全基础

eBay基于Istio的应用网关的探索和实践

Istio的运维-诊断工具(istio 系列五)

Istio架构、技术栈及适用场景

istio 常见异常分析

Istio Egress 出口网关使用

Istio 0.8 的 Helm Chart 解析

Service Mesh: Istio vs Linkerd

Istio Helm Chart 详解 - Pilot

Dapr | 云原生的抽象与实现

Kubernetes中使用mTLS保护微服务通信

istio 庖丁解牛(一) 组件概览

Istio 组件概览

听GPT 讲Istio源代码--pilot(3)

使用服务网格增强安全性：Christian Posta探索Istio的功能

扫码

相关资讯

热门标签

活动推荐

运营活动

社区

活动

资源

关于

腾讯云开发者

热门产品

热门推荐

更多推荐