Alibaba Cloud Service Mesh:Use an ASM egress gateway to access external mTLS services

sleep pod ──mesh mTLS──> egress gateway ──external mTLS──> external ingress gateway ──mTLS──> httpbin

# Replace with the actual ingress gateway IP from the prerequisite tutorial
export INGRESS_GATEWAY_IP=<ingress-gateway-ip>

Verificar a implantação

Com o kubeconfig do cluster ACK, verifique se o pod sleep alcança o serviço externo HTTPBin:

kubectl exec deploy/sleep -- curl --header "host:test.com" $INGRESS_GATEWAY_IP/status/418

Saída esperada:

    -=[ teapot ]=-

       _...._
     .'  _ _ `.
    | ."` ^ `". _,
    \_;`"---"`|//
      |       ;/
      \_     _/
        `"""`

A resposta HTTP 418 (teapot) confirma a conectividade com o serviço externo HTTPBin.

Restringir o acesso de saída (opcional)

Defina a política de tráfego de saída como REGISTRY_ONLY para impedir que os pods alcancem qualquer serviço não registrado explicitamente por meio de um ServiceEntry. Para mais informações, consulte Etapa 2: Ativar REGISTRY_ONLY.

Após ativar REGISTRY_ONLY, as requisições para serviços não registrados retornam um erro 502 Bad Gateway.

Registrar o serviço externo

Crie um ServiceEntry para test.com de modo que os pods no mesh possam acessá-lo. Para mais informações, consulte Criar um serviço externo.

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: test-com
  namespace: default
spec:
  endpoints:
    - address: <ingress-gateway-ip>  # IP address of the external ingress gateway
  hosts:
    - test.com
  location: MESH_EXTERNAL
  ports:
    - name: http
      number: 80
      protocol: HTTP
    - name: https
      number: 443
      protocol: HTTPS
  resolution: STATIC

Substitua <ingress-gateway-ip> pelo endereço IP do ingress gateway obtido no tutorial de pré-requisito.

Verificar

Após aplicar o ServiceEntry, execute o mesmo comando curl da Etapa 1 para confirmar que o pod sleep ainda acessa o serviço HTTPBin em test.com.

3a. Criar o egress gateway

Crie um egress gateway para tráfego HTTP na porta 80 com autenticação TLS mútua ativada. As cargas de trabalho no mesh criptografam automaticamente o tráfego destinado ao gateway usando certificados gerenciados pelo ASM. Para mais informações, consulte Criar um egress gateway.

3b. Criar regras de gateway

Crie um recurso Gateway que declare o listener do egress gateway. O gateway escuta na porta 80 com modo TLS ISTIO_MUTUAL (certificados gerenciados pelo ASM). Para mais informações, consulte Criar regras de gateway.

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: egress-gateway
  namespace: default
spec:
  selector:
    istio: egressgateway
  servers:
  - hosts:
    - '*'
    port:
      name: http
      number: 80
      protocol: HTTPS
    tls:
      mode: ISTIO_MUTUAL

3c. Criar um VirtualService

Crie um VirtualService que roteie o tráfego de test.com em dois estágios:

1. Do mesh para o egress gateway: O sidecar encaminha o tráfego na porta 80 para o egress gateway.

2. Do egress gateway para o serviço externo: O egress gateway encaminha o tráfego para o ServiceEntry test.com na porta 80.

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: egressgateway-vs
spec:
  hosts:
  - test.com
  gateways:
  - egress-gateway  # Gateway created in step 3b
  - mesh
  http:
  - match:
    - gateways:
      - mesh
      port: 80
    route:
    - destination:
        host: istio-egressgateway.istio-system.svc.cluster.local
        port:
          number: 80
      weight: 100
  - match:
    - gateways:
      - egress-gateway
      port: 80
    route:
    - destination:
        host: test.com
        port:
          number: 80
      weight: 100

Verificar se o tráfego flui pelo egress gateway

1. Acesse test.com a partir do pod sleep. Saída esperada: a arte ASCII do bule de chá HTTP 418 (igual à Etapa 1).

      kubectl exec deploy/sleep -- curl --header "host:test.com" $INGRESS_GATEWAY_IP/status/418

2. Verifique o log de acesso do egress gateway. Com o kubeconfig da instância do ASM, execute o comando abaixo. A entrada de log deve exibir "upstream_cluster":"outbound|80||test.com", confirmando que a requisição passou pelo egress gateway.

      export EGRESS_POD=$(kubectl get pod -l istio=egressgateway -n istio-system -o jsonpath='{.items[0].metadata.name}')
      kubectl -n istio-system logs $EGRESS_POD | tail -1

Fluxo de tráfego nesta etapa

sleep pod ──mTLS──> egress gateway ──plaintext──> external ingress gateway ──mTLS──> httpbin

O segmento entre o egress e o serviço externo ainda utiliza texto simples. A Etapa 4 atualiza esse segmento para mTLS.

4a. Atualizar o VirtualService

Atualize o VirtualService para rotear o tráfego do egress gateway para a porta 443 em vez da porta 80. A única alteração é a porta de destino na correspondência do egress-gateway:

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: egressgateway-vs
spec:
  hosts:
  - test.com
  gateways:
  - egress-gateway
  - mesh
  http:
  - match:
    - gateways:
      - mesh
      port: 80
    route:
    - destination:
        host: istio-egressgateway.istio-system.svc.cluster.local
        port:
          number: 80
      weight: 100
  - match:
    - gateways:
      - egress-gateway
      port: 80
    route:
    - destination:
        host: test.com
        port:
          number: 443  # Changed from 80 to 443
      weight: 100

4b. Importar o certificado de cliente mTLS

Importe o certificado mTLS de Configurar serviço mTLS no ingress gateway do ASM e restringir acesso de clientes específicos. Nomeie o certificado como test.client. Para mais informações, consulte Usar o recurso de gerenciamento de certificados do ASM.

Como alternativa, crie o secret diretamente com kubectl. Com o kubeconfig do cluster ACK, execute:

kubectl create -n istio-system secret generic test.client \
  --from-file=tls.key=client.key.pem \
  --from-file=tls.crt=clientcert.pem \
  --from-file=ca.crt=cacert.pem

4c. Criar um DestinationRule para origem mTLS

Crie um DestinationRule que configure o egress gateway para iniciar mTLS ao se conectar a test.com na porta 443:

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: originate-mtls-for-test-com
spec:
  host: test.com
  trafficPolicy:
    loadBalancer:
      simple: ROUND_ROBIN
    portLevelSettings:
    - port:
        number: 443
      tls:
        mode: MUTUAL
        credentialName: test.client
        sni: test.com

Verificar a origem mTLS

1. Teste um caminho permitido para o certificado de cliente. Saída esperada:

      kubectl exec deploy/sleep -it -- curl --header "host:test.com" $INGRESS_GATEWAY_IP/status/200 -I

      HTTP/1.1 200 OK
      server: envoy
      date: Mon, 29 Jul 2024 03:33:50 GMT
      content-type: text/html; charset=utf-8
      access-control-allow-origin: *
      access-control-allow-credentials: true
      content-length: 0
      x-envoy-upstream-service-time: 5

2. Teste um caminho bloqueado para o certificado de cliente. Saída esperada: A requisição é negada porque o certificado test.client foi configurado no tutorial de pré-requisito para bloquear o acesso ao caminho /status/418.

      kubectl exec deploy/sleep -it -- curl --header "host:test.com" $INGRESS_GATEWAY_IP/status/418

      RBAC: access denied%

3. Confirme se o egress gateway se conecta pela porta 443. Com o kubeconfig da instância do ASM, execute o comando abaixo. A entrada de log deve exibir "upstream_cluster":"outbound|443||test.com" e "upstream_host":"...:443", confirmando que o egress gateway se conecta ao serviço externo pela porta mTLS.

      kubectl -n istio-system logs $EGRESS_POD | tail -1

Fluxo de tráfego após a atualização para mTLS

sleep pod ──mTLS──> egress gateway ──mTLS──> external ingress gateway ──mTLS──> httpbin

Todos os segmentos agora estão criptografados com mTLS. A lacuna de texto simples da Etapa 3 foi eliminada.

Restringir acesso no egress gateway

Aplique uma AuthorizationPolicy no egress gateway para controlar quais serviços dentro do mesh podem acessar test.com. O exemplo a seguir nega à conta de serviço sleep o acesso ao caminho /headers:

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  labels:
    gateway: egressgateway
  name: test
  namespace: istio-system
spec:
  action: DENY
  rules:
    - from:
        - source:
            principals:
              - cluster.local/ns/default/sa/sleep
      to:
        - operation:
            hosts:
              - test.com
            paths:
              - /headers
  selector:
    matchLabels:
      istio: egressgateway

Após aplicar essa política, as requisições do pod sleep para test.com/headers através do egress gateway serão negadas.

Restringir acesso no ingress gateway externo

A AuthorizationPolicy no ingress gateway externo (de Configurar serviço mTLS no ingress gateway do ASM e restringir acesso de clientes específicos) restringe o acesso com base na identidade do certificado de cliente. A política do tutorial de pré-requisito impede que o certificado test.client acesse /status/418.

Juntos, esses dois pontos de autorização fornecem controle de acesso em camadas: