공용 주소

public_addr: ["service1.example.com", "service2.example.com"]

public_addr: ["service-one.example.com", "service-two.example.com"]

HTTP CONNECT 프록시

일부 네트워크는 모든 연결을 프록시 서버를 통해 집계하여 감사하고 접근 제어 규칙을 적용할 수 있습니다. 이러한 시나리오에 대해 Teleport는 HTTP CONNECT 터널링을 지원합니다. HTTP CONNECT는 다음에 적용됩니다:

• 모든 경우의 tsh.
• Teleport 서비스(예: SSH Service 및 Database Service)로, Teleport Proxy Service에 다시 연결합니다.

HTTP CONNECT 터널링을 사용하려면 Teleport를 실행할 때 HTTPS_PROXY 및 HTTP_PROXY 환경 변수를 설정하십시오. 또한 특정 호스트/넷마스크/포트를 액세스할 때 프록시 사용을 피하기 위해 NO_PROXY 환경 변수를 선택적으로 설정할 수 있습니다.

기본적으로, 패키지 관리자(예: apt 및 yum)에 기반한 Teleport 설치는 teleport systemd 유닛이 /etc/default/teleport에서 환경 변수를 읽도록 구성하여 EnvironmentFile 필드를 사용합니다:

(!/examples/systemd/teleport.service!)

HTTP CONNECT 터널링을 구성하려면, Teleport 바이너리를 실행하는 머신의 /etc/default/teleport 내에서 이러한 환경 변수를 할당할 수 있습니다. 다음 예제를 사용하여 proxy.example.com을 프록시의 주소로 교체하십시오:

HTTP_PROXY=http://proxy.example.com:8080/
HTTPS_PROXY=http://proxy.example.com:8080/
NO_PROXY=localhost,127.0.0.1,192.168.0.0/16,172.16.0.0/12,10.0.0.0/8

Teleport가 기본 클러스터로의 리버스 터널을 구축하고 설정할 때 모든 트래픽을 프록시를 통해 집계합니다. 특히, 기본 구성을 사용하는 경우 Teleport는 포트 3024(SSH, 리버스 터널) 및 3080(HTTPS, 신뢰 설정)을 프록시를 통해 터널링합니다. 이러한 트래픽 중 일부를 프록시하지 않으려면(예: HTTPS는 프록시하지만 SSH는 프록시하지 않음) NO_PROXY에 HTTP_CONNECT 터널링에서 제외할 Teleport Proxy Service 엔드포인트의 주소를 host:port 형식으로 할당하십시오.

예를 들어, 각 Teleport 바이너리를 실행하는 머신에서 /etc/default/teleport의 환경 파일을 다음과 같이 수정할 수 있습니다:

HTTP_PROXY=http://httpproxy.example.com:8080/
HTTPS_PROXY=http://httpproxy.example.com:8080/
NO_PROXY=teleportproxy.example.com:3024

HTTPS_PROXY 또는 HTTP_PROXY의 값은 scheme://[user[:password]@]host:port 형식이어야 하며 여기서 scheme은 https 또는 http입니다. 값이 host:port인 경우, Teleport는 http를 앞에 추가합니다.

포트

이 섹션에서는 Teleport 인스턴스에서 열어야 할 포트를 설명합니다.

curl https://teleport.example.com:443/webapi/ping | jq

curl https://mytenant.teleport.sh/webapi/ping | jq '.proxy'

{
  "kube": {
    "enabled": true,
    "public_addr": "mytenant.teleport.sh:11107",
    "listen_addr": "0.0.0.0:3026"
  },
  "ssh": {
    "listen_addr": "[::]:3023",
    "tunnel_listen_addr": "0.0.0.0:3024",
    "public_addr": "mytenant.teleport.sh:443",
    "ssh_public_addr": "mytenant.teleport.sh:11105",
    "ssh_tunnel_public_addr": "mytenant.teleport.sh:11106"
  },
  "db": {
    "postgres_public_addr": "mytenant.teleport.sh:11109",
    "mysql_listen_addr": "0.0.0.0:3036",
    "mysql_public_addr": "mytenant.teleport.sh:11108"
  },
  "tls_routing_enabled": true
}

에이전트 포트

Teleport 에이전트는 리버스 터널을 설정하기 위해 Teleport Proxy Service에 연결합니다. 클라이언트 트래픽은 Proxy Service를 통해 에이전트로 흐르고, 에이전트는 트래픽을 귀하의 인프라의 리소스에 전달합니다.

따라서, 에이전트를 실행하는 Teleport 프로세스(예: SSH Service, Kubernetes Service 및 귀하의 인프라의 리소스를 보호하는 다른 서비스)의 경우, 에이전트가 실행되는 머신에서 공용 인터넷으로 포트를 열 필요가 없습니다.