Compteu les sortides del proxy per separat de les rèpliques

Tres rèpliques de proxy darrere d'una passarel·la de traducció poden exposar igualment una única sortida pública. Les adreces privades dels contenidors no determinen la identitat visible a la destinació.

client → published service → proxy replica → egress/NAT → destination

Seguiu el dibuix en dues parts. El servei publicat tria com un client arriba a una rèplica. La ruta de sortida i el NAT trien l'adreça d'origen de la connexió posterior d'aquesta rèplica.

La malla d'encaminament de Docker Swarm accepta trànsit en un port de servei publicat i l'envia a una tasca activa. Això dona suport a la distribució d'entrada i als canvis de col·locació de tasques; no assigna una sortida pública distinta a cada rèplica.

Si calen sortides diferents, dissenyeu-ne les rutes i adreces reals, com ara amfitrions encaminats per separat o passarel·les de sortida assignades, i després compteu les identitats sortints observades.

Substituir una rèplica també en substitueix els fluxos actius

Un túnel CONNECT establert pertany a un sol procés de proxy. Una altra tasca no pot recrear de manera transparent l'estat TCP i TLS de la destinació quan substitueix aquest procés. Planifiqueu reconnexions i buideu les connexions de llarga durada per al manteniment.

Traslladeu també l'autenticació de clients i les polítiques de destinació a les rèpliques. La comprovació de port correcta d'un balancejador és més estreta que un client permès que negocia el protocol de proxy requerit. La capacitat, la identitat de sortida i la supervivència de les connexions són requisits separats que cal avaluar.