Очень крутой, детальный разбор! Особенно ценно, что на контрасте показаны два подхода: когда TLS тащит приложение и когда эту задачу берёт на себя инфраструктура через Service Mesh.
Больше всего впечатлила практическая часть с разбором нюансов протокола PostgreSQL — момент про SSLRequest и то, почему protocol: tcp ломает соединение, а protocol: postgres в Synapse решает проблему, просто блестяще раскрыт. Раньше не задумывался, насколько критично учитывать специфику handshake на уровне прокси, а тут всё разложено по полочкам с дампами и логикой обмена сообщениями.
Сильной стороной материала считаю чёткое выделение ограничений подхода с терминацией TLS на Egress Gateway — про потерю end‑to‑end шифрования и жёсткие рамки маршрутизации в Istio сказано прямо, без попыток приукрасить. Это как раз то, чего часто не хватает в технических статьях: не только «как сделать», но и «где это может аукнуться».
Отдельно радует, что всё подкреплено конкретными манифестами и выводами из реальных логов — сразу видно, как это работает «под капотом». Формат с параллельным разбором конфигов и их смысла делает статью отличным референсом для тех, кто внедряет подобные схемы у себя.
В целом — отличный кейс, который закрывает ощутимый пробел в материалах по безопасной интеграции микросервисов с БД. Уже прикинул, какие моменты из этого можно адаптировать в наших проектах. Спасибо автору за глубину и честность в описании подводных камней!
Очень крутой, детальный разбор! Особенно ценно, что на контрасте показаны два подхода: когда TLS тащит приложение и когда эту задачу берёт на себя инфраструктура через Service Mesh.
Больше всего впечатлила практическая часть с разбором нюансов протокола PostgreSQL — момент про SSLRequest и то, почему
protocol: tcpломает соединение, аprotocol: postgresв Synapse решает проблему, просто блестяще раскрыт. Раньше не задумывался, насколько критично учитывать специфику handshake на уровне прокси, а тут всё разложено по полочкам с дампами и логикой обмена сообщениями.Сильной стороной материала считаю чёткое выделение ограничений подхода с терминацией TLS на Egress Gateway — про потерю end‑to‑end шифрования и жёсткие рамки маршрутизации в Istio сказано прямо, без попыток приукрасить. Это как раз то, чего часто не хватает в технических статьях: не только «как сделать», но и «где это может аукнуться».
Отдельно радует, что всё подкреплено конкретными манифестами и выводами из реальных логов — сразу видно, как это работает «под капотом». Формат с параллельным разбором конфигов и их смысла делает статью отличным референсом для тех, кто внедряет подобные схемы у себя.
В целом — отличный кейс, который закрывает ощутимый пробел в материалах по безопасной интеграции микросервисов с БД. Уже прикинул, какие моменты из этого можно адаптировать в наших проектах. Спасибо автору за глубину и честность в описании подводных камней!