TLS配置 · ENVOY 智能代理中文參考文檔

## TLS配置 - [DataSource](#datasource) - [TlsParameters](#tlsparameters) - [TlsParameters.TlsProtocol (Enum)](#tlsparameterstlsprotocol-enum) - [TlsCertificate](#tlscertificate) - [TlsSessionTicketKeys](#tlssessionticketkeys) - [CertificateValidationContext](#certificatevalidationcontext) - [CommonTlsContext](#commontlscontext) - [UpstreamTlsContext](#upstreamtlscontext) - [DownstreamTlsContext](#downstreamtlscontext) ### DataSource [DataSource proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L26) ``` { "filename": "..." } ``` - **filename** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar), REQUIRED) 本地文件系統數據源。必須設置一個文件名。 ### TlsParameters [TlsParameters proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L38) ``` { "tls_minimum_protocol_version": "...", "tls_maximum_protocol_version": "...", "cipher_suites": [], "ecdh_curves": [] } ``` - **tls_minimum_protocol_version** ([TlsParameters.TlsProtocol](#tlsparameterstlsprotocol)) 容許的最小TLS協議版本。 - **tls_maximum_protocol_version** ([TlsParameters.TlsProtocol](#tlsparameterstlsprotocol)) 容許的最大TLS協議版本。 - **cipher_suites** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar)) 如果指定，則TLS監聽器將僅支持指定的密碼套件。如果未指定，則默認列表： ``` [ECDHE-ECDSA-AES128-GCM-SHA256|ECDHE-ECDSA-CHACHA20-POLY1305] [ECDHE-RSA-AES128-GCM-SHA256|ECDHE-RSA-CHACHA20-POLY1305] ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES128-SHA ECDHE-RSA-AES128-SHA AES128-GCM-SHA256 AES128-SHA256 AES128-SHA ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES256-SHA ECDHE-RSA-AES256-SHA AES256-GCM-SHA384 AES256-SHA256 AES256-SHA ``` 將會被使用。 - **ecdh_curves** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar)) 如果指定，TLS連接將只支持指定的ECDH密鑰交換。如果未指定，將使用默認（X25519，P-256）。 ### TlsParameters.TlsProtocol (Enum) [TlsParameters.TlsProtocol proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L39) - **TLS_AUTO** (DEFAULT) Envoy將選擇最佳的TLS版本。 - **TLSv1_0** TLS 1.0 - **TLSv1_1** TLS 1.1 - **TLSv1_2** TLS 1.2 - **TLSv1_3** TLS 1.3 ### TlsCertificate [TlsCertificate proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L95) ``` { "certificate_chain": "{...}", "private_key": "{...}" } ``` - **certificate_chain** ([DataSource](#datasource)) TLS證書鏈。 - **private_key** ([DataSource](#datasource)) TLS私鑰。 ### TlsSessionTicketKeys [TlsSessionTicketKeys proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L112) ``` { "keys": [] } ``` - **keys** ([DataSource](#datasource), REQUIRED) TLS會話的加解密的密鑰。數組中的第一個密鑰將作所有新會話加密的上下文。所有密鑰都將用來解密所收到的憑證。這允許通過，先放置新的密鑰在前面，第二個是舊的密鑰，用于實現密鑰輪換。如果未指定[session_ticket_keys](#downstreamtlscontext)，那么TLS庫仍將支持通過故障恢復單個會話，但會使用內部生成和管理的密鑰，因此會話不能在熱重啟或不同的主機上恢復。每個密鑰必須包含完全80字節的密碼安全隨機數據。例如，`openssl rand 80`的輸出。注意：使用此功能需要考慮嚴重的安全風險。即使使用了支持完美前向保密的密碼，對密鑰的不正確處理也可能導致連接的保密性喪失。有關討論，請[參閱](https://www.imperialviolet.org/2013/06/27/botchingpfs.html)討論。為了最大限度地降低風險，您必須： - 保持會話憑證密鑰至少與TLS證書私鑰一樣安全。 - 至少每天輪換會話憑證密鑰，最好每小時輪換一次。 - 始終使用密碼安全的隨機數據源生成密鑰。 ### CertificateValidationContext [CertificateValidationContext proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L139) ``` { "trusted_ca": "{...}", "verify_certificate_hash": [], "verify_subject_alt_name": [] } ``` - **trusted_ca** ([DataSource](#datasource)) TLS證書數據包含頒發機構證書，提供用于驗證客戶端的證書。如果未指定并且提供了客戶端證書，則不會進行驗證。默認情況下，校驗客戶端證書是可選的，除非還指定了其中一個附加選項（`require_client_certificate`，`verify_certificate_hash`或`verify_subject_alt_name`）。 - **verify_certificate_hash** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar)) 如果指定，Envoy將驗證（pin）所提供證書的十六進制編碼的SHA-256散列。 - **verify_subject_alt_name** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar)) 可選，標題替代名稱列表。如果指定，Envoy將驗證證書的標題替代名稱是否與指定其中一個值匹配。 ### CommonTlsContext [CommonTlsContext proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L173) 客戶端和服務器TLS上下文共享。 ``` { "tls_params": "{...}", "tls_certificates": [], "validation_context": "{...}", "alpn_protocols": [] } ``` - **tls_params** ([TlsParameters](#tlsparameters)) TLS協議版本，算法套件等。 - **tls_certificates** ([TlsCertificate](#tlscertificate)) 多個TLS證書可以與相同的上下文關聯。例如：為了同時允許RSA和ECDSA證書，可以配置兩個TLS證書。注意：雖然這是一個列表，但是目前只支持單個證書。這將在未來放寬。 - **validation_context** ([CertificateValidationContext](#certificatevalidationcontext)) 如何驗證對等證書。 - **alpn_protocols** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar)) 提供監聽器應該公開的ALPN協議列表。實際上，這可能會被設置為兩個值之一（有關更多信息，請參閱HTTP連接管理器中的codec_type參數）： - “h2,http/1.1” 如果監聽器要同時支持HTTP/2和HTTP/1.1。 - “http/1.1” 如果監聽器只支持HTTP/1.1。這個參數沒有默認值。如果為空，Envoy將不會暴露ALPN。 ### UpstreamTlsContext [UpstreamTlsContext proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L214) ``` { "common_tls_context": "{...}", "sni": "..." } ``` - **common_tls_context** ([CommonTlsContext](#commontlscontext)) 常見的TLS上下文設置。 - **sni** ([string](https://developers.google.com/protocol-buffers/docs/proto#scalar)) 創建TLS后端連接時使用的SNI字符串。 ### DownstreamTlsContext [DownstreamTlsContext proto](https://github.com/envoyproxy/data-plane-api/blob/master/api/sds.proto#L222) ``` { "common_tls_context": "{...}", "require_client_certificate": "{...}", "session_ticket_keys": "{...}" } ``` - **common_tls_context** ([CommonTlsContext](#commontlscontext)) 常見的TLS上下文設置。 - **require_client_certificate** ([BoolValue](https://developers.google.com/protocol-buffers/docs/reference/google.protobuf#boolvalue)) 如果指定，Envoy將拒絕沒有有效客戶端證書的連接。 - **session_ticket_keys** ([TlsSessionTicketKeys](#tlssessionticketkeys)) TLS會話憑證密鑰設置。注意：只有一個`session_ticket_keys`可被設置。 ## 返回 - [上一級](../v2APIreference.md) - [首頁目錄](../README.md)