network-engineer

預期結果:

这是一个全面的零信任多云网络架构：

## 核心原则
1. **基于身份访问** - 所有连接都经过认证和授权
2. **微隔离** - 细粒度的网络隔离
3. **持续验证** - 实时信任评估

## 架构组件

### AWS VPC 设计
- 公共子网：NAT 网关、ALB
- 私有子网：应用层（EC2、ECS）
- 数据库子网：带有私有端点的 RDS
- Transit Gateway 用于 VPC 对等连接

### Azure VNet 设计
- 带有 Azure Firewall 的 hub-spoke 拓扑
- 用于 PaaS 服务的私有端点
- 用于混合连接的 VPN 网关

### GCP VPC 设计
- 用于集中网络管理的共享 VPC
- 用于私有实例出口的 Cloud NAT
- 用于全球分发的 Cloud 负载均衡

### 零信任连接
- 所有服务通信使用 mTLS
- Kubernetes 中的网络策略
- 带有自动化轮换的短期证书

預期結果:

## SSL/TLS 终止架构

### 组件
1. **证书颁发机构**：Let's Encrypt（自动化）
2. **证书管理器**：cert-manager（Kubernetes）
3. **负载均衡器**：带有 TLS 终止的 Nginx Ingress

### 实施步骤

1. 安装 cert-manager：
```
kubectl apply -f https://github.com/jetstack/cert-manager/releases/download/v1.13.0/cert-manager.yaml
```

2. 为 Let's Encrypt 创建 ClusterIssuer：
```yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
name: letsencrypt-prod
spec:
acme:
server: https://acme-v02.api.letsencrypt.org/directory
email: admin@example.com
privateKeySecretRef:
name: letsencrypt-prod
solvers:
- http01:
ingressClass: nginx
```

3. 为 Ingress 添加注释以获取自动证书：
```yaml
metadata:
annotations:
cert-manager.io/cluster-issuer: letsencrypt-prod
```

### 用于服务网格的 mTLS 设置
- 使用 Istio 网格实现自动 mTLS
- 配置对等认证以启用严格 mTLS
- 实现每 24 小时的证书轮换