Sni on homelab89

Test Report — Egress Gateway "HTTPS over mTLS" (ISTIO_MUTUAL)

Mon, 08 Jun 2026 00:00:00 +0000

ABSTRACT

egress gateway에서 sidecar↔gw 구간만 Istio mTLS(ISTIO_MUTUAL)로 감싸 게이트웨이가 호출자의 SPIFFE 신원을 검증하면서, 앱이 보낸 HTTPS는 외부까지 end-to-end로 보존되는 “이중 TLS” 패턴을 홈랩에서 실측 검증한 리포트. 결론: 동작하지만(200), 처음 manifest 그대로는 깨졌고 그 실패 두 개가 이 패턴의 핵심 원리를 그대로 드러낸다 — 종단하면 SNI가 소비된다는 한 문장에서 모든 설정 결정과 두 함정이 따라 나온다.

east-west gateway는 목적지 클러스터를 SNI에 인코딩해, mTLS를 복호화하지 않고 암호화된 채로 원격 워크로드까지 프록시한다

Sun, 07 Jun 2026 00:00:00 +0000

ABSTRACT

east-west gateway는 mTLS를 풀지 않고 봉투 겉면(ClientHello의 SNI)에 적힌 목적지만 읽어 다음 hop으로 넘기는 L4 SNI 라우터다. 멀티클러스터(network 분리) 메시에서 한 클러스터의 sidecar가 다른 클러스터의 워크로드를 부를 때, sidecar는 목적지 식별자를 SNI 필드에 인코딩해 보내고, 게이트웨이는 그 SNI만 읽어(AUTO_PASSTHROUGH) 암호 바이트를 그대로 흘린다. 종단을 안 하므로 워크로드↔워크로드 mTLS가 관통해 보존된다. 이 문서는 그 메커니즘과 왜를 다룬다(운영 매니페스트는 위임).

Istio 1.30 Egress Gateway — 외부 HTTPS 통신 설치·구성·테스트 가이드

Sun, 07 Jun 2026 00:00:00 +0000

ABSTRACT

homelab(kubespray bare-metal, k8s v1.30.6, CNI Calico, Istio 1.30.0)에서 egress gateway를 Helm으로 구성하고, 앱이 직접 https://를 호출하는 TLS Passthrough(SNI 라우팅) 시나리오를 끝까지 구성·검증한다. 머릿속에 담을 한 장의 그림: 메시의 모든 외부 송신을 egress gateway라는 단일 choke point로 모으되, TLS는 끝까지 암호화된 채로 두고 gateway는 SNI만 보고 라우팅한다(2-홉: mesh→gateway, gateway→external). 핵심 결론: egress의 “완료"는 200이 아니라 트래픽이 egress gateway를 실제로 경유했음을 증명하는 것이며, 호출 결과 / proxy-config / access log 세 가지를 교차 확인한다.

Test Report — Ingress / Egress Gateway 동작 검증

Sun, 07 Jun 2026 00:00:00 +0000

ABSTRACT

홈랩 클러스터에서 Ingress·Egress gateway 동작을 실측 검증한 리포트. 하나의 그림: gateway는 메시 경계에 선 전용 Envoy proxy다. ingress는 자기가 TLS를 끝내므로(termination) L7 전체가 보여 host/path로 분기하고, egress는 나가는 HTTPS를 복호화하지 않고 SNI만 보고 L4로 한 chokepoint를 거치게 강제한다 — 이 L7 vs L4 비대칭이 두 gateway 검증법까지 갈라놓는다. 결론 — Ingress: host/path 라우팅 + TLS termination PASS. Egress: HTTPS SNI PASSTHROUGH로 외부 호출이 egress gateway를 강제 경유함을 access log로 입증(200). REGISTRY_ONLY 미등록 차단은 메시 전역 영향 탓에 의도적 보류.