Лічыце выхады проксі асобна ад рэплік

Тры рэплікі проксі за адным перакладным шлюзам могуць па-ранейшаму паказваць адзін публічны выхад. Прыватныя адрасы кантэйнераў не вызначаюць ідэнтычнасць, бачную ў пункце прызначэння.

client → published service → proxy replica → egress/NAT → destination

Разглядайце схему ў дзвюх частках. Апублікаваны сэрвіс выбірае, як кліент дасягае рэплікі. Маршрут выхаду і NAT выбіраюць адрас крыніцы наступнага злучэння гэтай рэплікі.

Маршрутная сетка Docker Swarm прымае трафік на апублікаваным порце сэрвісу і накіроўвае яго да актыўнай задачы. Гэта падтрымлівае размеркаванне ўваходу і змены размяшчэння задач; яна не прызначае асобны публічны выхад кожнай рэпліцы.

Калі патрэбны асобныя выхады, праектуйце іх рэальныя маршруты і адрасы, напрыклад асобна маршрутызаваныя хасты або прызначаныя выхадныя шлюзы, затым назіраныя знешнія ідэнтычнасці падлічыце.

Замена рэплікі таксама замяняе яе жывыя патокі

Усталяваны тунэль CONNECT належыць аднаму працэсу проксі. Іншая задача не можа празрыста аднавіць стан TCP і TLS пункта прызначэння, калі яна замяняе гэты працэс. Плануйце перападключэнні і спускайце доўгажывучыя злучэнні для абслугоўвання.

Пераносьце аўтэнтыфікацыю кліентаў і палітыкі прызначэння таксама на рэплікі. Паспяховая праверка порта балансіроўшчыкам вужэйшая за дазволенага кліента, які ўзгадняе патрабаваны пратакол проксі. Ёмістасць, ідэнтычнасць выхаду і захаванне злучэння — асобныя патрабаванні для ацэнкі.