이중 egress gateway — passthrough와 mTLS를 별도 ns·별도 pod로 나란히

Tue, 09 Jun 2026 00:00:00 +0000

ABSTRACT

단일 egress gateway를 멀티-gateway 토폴로지로 일반화하면서, 두 egress 패턴(① TLS PASSTHROUGH, ② outer 메시 mTLS + inner 앱 TLS)을 서로 다른 namespace의 서로 다른 gateway pod로 동시에 띄워 직접 비교한 homelab 검증 랩. 결론: 진짜 격리는 물리 분리(pod/ns/label)와 논리 스코핑(exportTo/sourceLabels)을 함께 갖춰야 성립한다 — 둘 중 하나라도 빠지면 “분리된 것처럼 보이는” 상태에 그친다. 본 문서는 그 둘을 어떻게 맞물리는지에 집중한다(패턴 자체의 구조·운영은 기존 문서로 링크).

Istio 1.30 Egress Gateway — 외부 HTTPS 통신 설치·구성·테스트 가이드

Sun, 07 Jun 2026 00:00:00 +0000

ABSTRACT

homelab(kubespray bare-metal, k8s v1.30.6, CNI Calico, Istio 1.30.0)에서 egress gateway를 Helm으로 구성하고, 앱이 직접 https://를 호출하는 TLS Passthrough(SNI 라우팅) 시나리오를 끝까지 구성·검증한다. 머릿속에 담을 한 장의 그림: 메시의 모든 외부 송신을 egress gateway라는 단일 choke point로 모으되, TLS는 끝까지 암호화된 채로 두고 gateway는 SNI만 보고 라우팅한다(2-홉: mesh→gateway, gateway→external). 핵심 결론: egress의 “완료"는 200이 아니라 트래픽이 egress gateway를 실제로 경유했음을 증명하는 것이며, 호출 결과 / proxy-config / access log 세 가지를 교차 확인한다.

Tls-Passthrough on homelab89

이중 egress gateway — passthrough와 mTLS를 별도 ns·별도 pod로 나란히

Istio 1.30 Egress Gateway — 외부 HTTPS 통신 설치·구성·테스트 가이드