Tel proxy-uitgange apart van replikas

Drie proxy-replikas agter een vertalende poort kan steeds een openbare uitgang blootstel. Privaat houeradresse bepaal nie die identiteit wat by die bestemming sigbaar is nie.

client → published service → proxy replica → egress/NAT → destination

Volg die tekening in twee dele. Die gepubliseerde diens kies hoe 'n kliënt 'n replika bereik. Die uitgangroete en NAT kies die bronadres van daardie replika se verdere verbinding.

Docker Swarm se roeteringsmaas aanvaar verkeer op 'n gepubliseerde dienspoort en stuur dit na 'n aktiewe taak. Dit ondersteun verspreiding van toegang en veranderinge in taakplasing; dit ken nie 'n aparte openbare uitgang aan elke replika toe nie.

As afsonderlike uitgange nodig is, ontwerp hul werklike roetes en adresse, soos apart gerouteerde gashere of toegewysde uitgangspoorte, en tel dan waargeneemde uitwaartse identiteite.

Die vervanging van 'n replika vervang ook sy lewende strome

'n Gevestigde CONNECT-tonnel behoort aan een proxy-proses. 'n Ander taak kan nie die bestemming se TCP- en TLS-toestand deursigtig herskep wanneer dit daardie proses vervang nie. Beplan herverbindings en dreineer langdurige verbindings vir onderhoud.

Dra ook kliënt-verifikasie en bestemmingsbeleide oor na die replikas. 'n Laaibalansering se suksesvolle poortkontrole is smaller as 'n toegelate kliënt wat die vereiste proxy-protokol onderhandel. Kapasiteit, uitgangidentiteit en oorlewing van verbindings is afsonderlike vereistes om te evalueer.