istio.io/content/es/boilerplates/cve-2020-007-configmap.md

1.5 KiB

  1. Crea un config map descargando custom-bootstrap-runtime.yaml. Actualiza global_downstream_max_connections en el config map según el número de conexiones concurrentes que necesiten las instancias individuales de la gateway en tu despliegue. Una vez que se alcance el límite, Envoy comenzará a rechazar las conexiones tcp.

    {{< text bash >}} $ kubectl -n istio-system apply -f custom-bootstrap-runtime.yaml {{< /text >}}

  2. Parchea el despliegue de la gateway de entrada para usar la configuración anterior. Descarga gateway-patch.yaml y aplícalo usando el siguiente comando.

    {{< text bash >}} kubectl --namespace istio-system patch deployment istio-ingressgateway --patch "(cat gateway-patch.yaml)" {{< /text >}}

  3. Confirma que los nuevos límites están en su lugar.

    {{< text bash >}} ISTIO_INGRESS_PODNAME=(kubectl get pods -l app=istio-ingressgateway -n istio-system -o jsonpath="{.items[0].metadata.name}") kubectl --namespace istio-system exec -i -t "{ISTIO_INGRESS_PODNAME}" -c istio-proxy -- curl -sS http://localhost:15000/runtime

    { "entries": { "overload.global_downstream_max_connections": { "layer_values": [ "", "250000", "" ], "final_value": "250000" } }, "layers": [ "static_layer_0", "admin" ] } {{< /text >}}