Аўтэнтыфікацыя па зыходным IP для парку проксі-працаўнікоў

Проксі-уліковы запіс з аўтэнтыфікацыяй па IP можа працаваць з аднаго працаўніка і адхіляць іншага, бо працаўнікі прыходзяць з розных публічных адрасоў. Парку патрэбны наўмысна выбраны знешні шлях перад падключэннем да проксі.

Адна схема AWS IPv4 такая:

private worker → public NAT gateway → internet gateway → proxy service → destination

Публічны NAT-шлюз мае звязаны Elastic IP. Для трафіку, які ідзе праз інтэрнэт-шлюз VPC, AWS пераўтварае прыватны адрас NAT-шлюза ў гэты Elastic IP. Таму аддалены проксі можа аўтарызаваць гэты публічны адрас выхаду замест прыватнага адраса кожнага працаўніка.

Напраўце інтэрнэт-трафік патрэбных працаўнікоў праз запланаваны шлюз і зарэгіструйце магчымыя публічныя адрасы выхаду ў проксі-сэрвісе. Калі разгортванне выкарыстоўвае некалькі NAT-шлюзаў або дадатковыя адрасы выхаду, улічыце ўсе шляхі, якія можа прайсці парк.

Крыніца, якую прымае проксі, — гэта адно адносіны адрасоў. Адрас выхаду проксі, які бачыць прызначэнне, — іншае. Наданне ўліковаму запісу стабільнага IP падключэння не прымушае сэрвіс выкарыстоўваць гэты IP як выхад.

Прыватны NAT-шлюз не дае такой інтэрнэт-схемы з публічным Elastic IP. AWS таксама дакументуе іншыя паводзіны адрасоў, калі публічны NAT-шлюз адпраўляе трафік праз транзітны або віртуальны прыватны шлюз замест інтэрнэт-шлюза.

Аперацыйная праверка — назіранне проксі-сэрвісам залучэння з кожнага маршруту працаўніка, уключаючы пераключэнне пры збоі. Захоўвайце гэта назіранне разам з канфігурацыяй выхаду, каб пазнейшае змяненне сеткі адлюстравалася ў спісе дазволаў уліковага запісу.