将 HTTP 流量转换为 HTTPS

Question

我需要将微服务连接的所有现有端点从 HTTP 移动到 HTTPS，以便满足业务需求，同时减少开销。

对于初学者，我正在考虑将 Envoy 作为转发代理运行，它将所有传出的 HTTP 传输从同一本地主机转换为 HTTPS 转发到其预期目的地。 在预定目的地，为避免任何应用程序更改，我还将有一个相应的 Envoy side car，但配置为反向代理，以便它将传入的 HTTPS 请求转换为原始 HTTP 应用程序无缝运行的端点。

这是迄今为止最好的方法吗，因为我正在尝试在不触及任何现有代码的情况下实施解决方案，以便它可以扩展到所有 springboot 微服务

Answer 1

如果我总结你想要什么，你想实现这样的事情：

有两个 Envoy（名为前端和后端），在 HTTPS 中相互通信。但是，来自前端和来自后端的流量是未加密的（HTTP）。 如果您的应用程序仅支持 HTTP，那也没关系，因为您不必更改代码中的任何内容。 为每个应用程序（以及相同的 TLS 证书？）添加具有相同配置的边车可能会非常麻烦，但这是要付出的代价。

我不知道你在哪里运行你的应用程序，但如果你在 Kube.netes 之类的东西中运行它们，那么如果后端 Envoy 和你的应用程序都在一个 pod 中，那么在后端 Envoy 和你的应用程序之间有未加密的流量就可以了（基于这个答案： https://stackoverflow.com/a/48520864 ）。 无论如何，只要 Sidecar 和应用程序通过localhost通信，那么一切都应该没问题 ( https://security.stackexchange.com/a/44617 )。

在 your.network 中添加 HTTPS 非常好，因为它可以防止恶意用户窃听您的流量。 这可能不在问题的 scope 范围内，但从我的角度来看，仅在 your.network 中添加 HTTPS 是不够的。 如果有人拦截了从您的客户端到前端 Envoy 的请求（HTTP，未加密），会发生什么情况？ 您可能需要考虑向前端 Envoy 添加 HTTPS 支持。 如果设计得当，从 Inte.net 窃听客户端请求的风险可能比在 your.network 内部窃听的风险更大。

无论如何，如果你想实现上面的模式，那么你可以使用 Envoy 轻松地做到这一点：）它需要一些配置。 假设前端 Envoy 侦听 8080，后端 Envoy 侦听 8443，而您的应用程序侦听 5000，以下配置可以完成这项工作：

前端特使配置：

static_resources:
  listeners:
  - address:
      socket_address:
        address: 0.0.0.0
        port_value: 8080
    filter_chains:
    - filters:
      - name: envoy.filters.network.http_connection_manager
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
          codec_type: AUTO
          stat_prefix: ingress_http
          route_config:
            name: local_route
            virtual_hosts:
            - name: backend
              domains:
              - "*"
              routes:
              - match:
                  prefix: "/"
                route:
                  cluster: envoy-backend
          http_filters:
          - name: envoy.filters.http.router

  clusters:
  - name: envoy-backend
    connect_timeout: 5s
    type: LOGICAL_DNS
    lb_policy: ROUND_ROBIN
    load_assignment:
      cluster_name: envoy-backend
      endpoints:
      - lb_endpoints:
        - endpoint:
            address:
              socket_address:
                address: envoy-backend
                port_value: 8443
    transport_socket:
      name: envoy.transport_sockets.tls # required to communicate in HTTPS
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext

后端特使配置：

static_resources:
  listeners:
  - address:
      socket_address:
        address: 0.0.0.0
        port_value: 8443
    filter_chains:
    - filters:
      - name: envoy.filters.network.http_connection_manager
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
          codec_type: AUTO
          stat_prefix: ingress_http
          route_config:
            name: local_route
            virtual_hosts:
            - name: backend
              domains:
              - "*"
              routes:
              - match:
                  prefix: "/"
                route:
                  cluster: app
          http_filters:
          - name: envoy.filters.http.router
      transport_socket:
        name: envoy.transport_sockets.tls # TLS configuration
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
          common_tls_context:
            tls_certificates:
            - certificate_chain:
                filename: "/etc/https.crt"
              private_key:
                filename: "/etc/key.pem"

  clusters:
  - name: app
    connect_timeout: 5s
    type: LOGICAL_DNS
    lb_policy: ROUND_ROBIN
    load_assignment:
      cluster_name: app
      endpoints:
      - lb_endpoints:
        - endpoint:
            address:
              socket_address:
                address: 127.0.0.1 # sidecar and app should communicate using localhost
                port_value: 5000