有没有办法阻止特使添加特定的标题？

Question

根据此处的文档https://www.envoyproxy.io/docs/envoy/latest/configuration/http/http_conn_man/headers#x-forwarded-proto 特使代理将 Header 添加X-Forwarded-Proto到请求中，由于某种原因，标头值为错误的; 它将它设置为http尽管传入请求方案会https导致我的应用程序代码中出现一些问题，因为它取决于此标头的正确值。

这是特使中的错误吗？我可以阻止特使这样做吗？

Answer 1

正如我在评论中提到的那样，有相关的github 问题。

有没有办法阻止特使添加特定的标题？

有istio开发@howardjohn评论有关

我们目前有两种选择：

• 特使过滤器
• 阿尔法API

不会有第三者；相反，我们将推广 alpha API。

所以第一个选项是特使过滤器。

在上面的 github 问题中有 2 个答案。

@jh-sz 提供的答案

一般来说，当 Envoy 作为边缘节点（也称为前端代理）部署时，use_remote_address 应该设置为 true，而当 Envoy 作为网格部署中的内部服务节点使用时，它可能需要设置为 false。

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: xff-trust-hops
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
  - applyTo: NETWORK_FILTER
    match:
      context: ANY
      listener:
        filterChain:
          filter:
            name: "envoy.http_connection_manager"
    patch:
      operation: MERGE
      value:
        typed_config:
          "@type": "type.googleapis.com/envoy.config.filter.network.http_connection_manager.v2.HttpConnectionManager"
          use_remote_address: true
          xff_num_trusted_hops: 1

和

答案由@vadimi提供

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: my-app-filter
spec:
  workloadLabels:
    app: my-app
  filters:
  - listenerMatch:
      portNumber: 5120
      listenerType: SIDECAR_INBOUND
    filterName: envoy.lua
    filterType: HTTP
    filterConfig:
      inlineCode: |
        function envoy_on_request(request_handle)
          request_handle:headers():replace("x-forwarded-proto", "https")
        end
        function envoy_on_response(response_handle)
        end

第二个选项是 Alpha api，此功能正在积极开发中，被认为是 pre-alpha。

Istio 提供了管理X-Forwarded-For (XFF) 和X-Forwarded-Client-Cert (XFCC) 等设置的能力，这些设置取决于网关工作负载的部署方式。这是目前正在开发的功能。有关 X-Forwarded-For 的更多信息，请参阅 IETF 的RFC。

您可以选择在各种网络拓扑中部署 Istio 入口网关（例如，在 Cloud Load Balancer 后面，自我管理的负载均衡器或直接将 Istio 入口网关暴露给 Internet）。因此，这些拓扑需要不同的入口网关配置才能将正确的客户端属性（如 IP 地址和证书）传输到集群中运行的工作负载。

XFF 和 XFCC 标头的配置在 Istio 安装期间通过 MeshConfig 或通过添加 pod 注释进行管理。请注意，Meshconfig 配置是所有网关工作负载的全局设置，而 pod 注释会在每个工作负载的基础上覆盖全局设置。