Gateway on homelab89

Egress "HTTPS over mTLS" (ISTIO_MUTUAL) — 구조·CRD·장단점·활용·운영

Mon, 08 Jun 2026 00:00:00 +0000

ABSTRACT

머릿속에 넣을 한 장의 그림: 이 패턴은 “end-to-end 암호화 보존“과 “egress에서 호출자 신원 식별“이라는 서로 독립인 두 축의 교집합 칸이다 — 둘 다 Yes일 때만 정답인 좁은 셀. 구현은 이중 TLS: 앱은 그대로 https://(inner end-to-end TLS)로 호출하고, sidecar↔egress 구간만 Istio 메시 mTLS(ISTIO_MUTUAL)로 한 겹 더 감싸(outer) gateway가 그 outer를 종단하며 호출 워크로드의 SPIFFE 신원을 암호학적으로 검증하되, 안쪽 앱 TLS는 풀지 않고 tcp_proxy로 외부까지 그대로 흘린다. passthrough(신원 없음)와 TLS origination(앱 평문화)의 사각지대를 메우는 패턴이며, 실측 검증은 Egress mTLS 리포트, 운영 정본은 Egress 운영, 개념 정본은 Egress Gateway 정본, 이 신원 위에 올라가는 통제(AuthorizationPolicy·테스트 매트릭스)는 Egress 신원 기반 통제 가이드 참조.

Istio 1.30 Egress Gateway — 외부 HTTPS 통신 설치·구성·테스트 가이드

Sun, 07 Jun 2026 00:00:00 +0000

ABSTRACT

homelab(kubespray bare-metal, k8s v1.30.6, CNI Calico, Istio 1.30.0)에서 egress gateway를 Helm으로 구성하고, 앱이 직접 https://를 호출하는 TLS Passthrough(SNI 라우팅) 시나리오를 끝까지 구성·검증한다. 머릿속에 담을 한 장의 그림: 메시의 모든 외부 송신을 egress gateway라는 단일 choke point로 모으되, TLS는 끝까지 암호화된 채로 두고 gateway는 SNI만 보고 라우팅한다(2-홉: mesh→gateway, gateway→external). 핵심 결론: egress의 “완료"는 200이 아니라 트래픽이 egress gateway를 실제로 경유했음을 증명하는 것이며, 호출 결과 / proxy-config / access log 세 가지를 교차 확인한다.

Test Report — Ingress / Egress Gateway 동작 검증

Sun, 07 Jun 2026 00:00:00 +0000

ABSTRACT

홈랩 클러스터에서 Ingress·Egress gateway 동작을 실측 검증한 리포트. 하나의 그림: gateway는 메시 경계에 선 전용 Envoy proxy다. ingress는 자기가 TLS를 끝내므로(termination) L7 전체가 보여 host/path로 분기하고, egress는 나가는 HTTPS를 복호화하지 않고 SNI만 보고 L4로 한 chokepoint를 거치게 강제한다 — 이 L7 vs L4 비대칭이 두 gateway 검증법까지 갈라놓는다. 결론 — Ingress: host/path 라우팅 + TLS termination PASS. Egress: HTTPS SNI PASSTHROUGH로 외부 호출이 egress gateway를 강제 경유함을 access log로 입증(200). REGISTRY_ONLY 미등록 차단은 메시 전역 영향 탓에 의도적 보류.