Question 1

Pomerium で、信頼されたプライベートCAからのクライアント証明書を要求するように設定する方法

Accepted Answer

downstream mTLS CAオプションを使用して、信頼するCAを指定します。Pomeriumは、すべてのルートにおいて、クライアント証明書がない場合や無効な場合に自動的にdenyルールを追加します。設定例：
```yaml
downstream_mtls:
  ca_file: /path/to/trusted/CA.pem
```
基本的な強制にはルートレベルのCertificate Matcherは不要です。ルートごとの追加制限が必要な場合にのみ必要です。

Question 2

Pomeriumでローカル（プライベート）IPアドレスからのアクセスのみを許可するにはどうすればよいですか？

Accepted Answer

source_ip ポリシー条件を RFC 1918 および RFC 4193 のプライベートアドレスブロック（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、fd00::/8）とともに使用します。これらのリストを複数のルートで繰り返し記述しないようにするには、YAML アンカーを使用できます。例：

```yaml
routes:
 - from: https://route-a.example.com
   to: https://backend-a.internal
   policy: &allow_local_ip
     allow:
       or:
         - source_ip: 10.0.0.0/8
         - source_ip: 172.16.0.0/12
         - source_ip: 192.168.0.0/16
         - source_ip: fd00::/8
 - from: https://route-b.example.com
   to: https://backend-b.internal
   policy: *allow_local_ip
```

テンプレートエンジン（例：Jinja2）を使用する場合は、CIDR ブロックを一元的に管理できます。現時点では、組み込みの `local_source_ip` ショートカットはありません。

Question 3

Tailscale または Headscale のトラフィックをカスタムHTTP Upgradeヘッダーを使用してPomerium経由でルーティングする方法は？

Accepted Answer

PR #6216 のマージ以降、Pomerium はポリシーレベルの `allow_upgrades` オプションをサポートし、カスタム HTTP Upgrade プロトコルを許可できるようになりました。例えば、Tailscale トラフィックを許可するには、ルートに以下を追加します:

allow_upgrades:
  - "tailscale-control-protocol"

この設定により、Envoy はカスタムアップグレードヘッダーを転送するよう指示され、`upgrade_failed` エラーを解消します。以前は、唯一の回避策は Tailscale 接続に別のプロキシを使用することでした。

Question 4

pomerium/pomerium:v0.32.4 で報告されている重大な gRPC、Go stdlib、および libssl3 の CVE を修正するにはどうすればよいですか？

Accepted Answer

Pomerium を v0.32.5 以降にアップグレードしてください。このリリースでは、影響を受ける Go コンポーネントが更新され、`google.golang.org/grpc` が v1.79.3+ に、Go ツールチェーンが v1.25.8+ に、`go.opentelemetry.io/otel/sdk` が v1.40.0+ に更新されています。更新されたイメージをプルして再スキャンしてください:

```bash
docker pull pomerium/pomerium:v0.32.5
trivy image --severity CRITICAL,HIGH --ignore-unfixed --scanners vuln pomerium/pomerium:v0.32.5
```

イメージにまだ表示されている Debian の `libssl3` の CVE は、Pomerium にとって誤検出と見なされます。Pomerium と Envoy のバイナリは静的にリンクされており、Pomerium は Go の `crypto/tls` を使用し、Envoy はシステムの OpenSSL ではなく BoringSSL を使用しているためです。スキャナー出力を整理するための未使用の `libssl3` パッケージの削除は、別途追跡されています。

Question 5

なぜEnvoyはmacOS上で、'Listening on UDP when concurrency is > 1 without the SO_REUSEPORT socket option'という理由でHTTP/3リスナーを拒否するのですか？

Accepted Answer

このエラーは、macOS ではデフォルトですべてのリスナーに対して SO_REUSEPORT が無効になっているために発生します（既知の問題 #5066 による）。しかし、QUIC/UDP では、安定したパケット配信を確保するために、concurrency > 1 の場合にこれが必要です。即座の回避策としては、Pomerium 設定ファイル（例：`pomerium.yaml`）で `concurrency: 1` を設定し、単一のワーカープロセスを強制します。あるいは、高度な Envoy 設定にアクセスできる場合は、UDP リスナーで `reuse_port` オプションを明示的に有効にします。設定例：
```yaml
concurrency: 1
```
この変更後、Pomerium を再起動してください。

pomerium

主な機能

できないこと

使用例

タグ

はじめ方

類似プロジェクト