Autenticació per IP d'origen per a una flota de treballadors proxy

Un compte proxy autenticat per IP pot funcionar des d'un treballador i rebutjar-ne un altre perquè els treballadors arriben des d'adreces públiques diferents. La flota necessita un camí de sortida deliberat abans de connectar-se al proxy.

Una disposició AWS IPv4 és:

private worker → public NAT gateway → internet gateway → proxy service → destination

Una passarel·la NAT pública té una Elastic IP associada. Per al trànsit enviat a través de la passarel·la d'internet de la VPC, AWS tradueix l'adreça privada de la passarel·la NAT a aquesta Elastic IP. Per tant, un proxy remot pot autoritzar aquesta adreça de sortida pública en lloc de l'adreça privada de cada treballador.

Encamineu el trànsit cap a internet dels treballadors previstos a través de la passarel·la planificada i registreu les possibles adreces de sortida públiques al servei proxy. Si el desplegament utilitza diverses passarel·les NAT o adreces de sortida addicionals, tingueu en compte tots els camins que la flota pot prendre.

L'origen que accepta el proxy és una relació d'adreces. L'adreça de sortida del proxy que veu la destinació és una altra. Donar al compte una IP de connexió estable no obliga el servei a utilitzar aquesta IP com a sortida.

Una passarel·la NAT privada no ofereix aquesta disposició d'internet amb Elastic IP pública. AWS també documenta un comportament diferent de les adreces quan una passarel·la NAT pública envia trànsit a través d'una passarel·la de trànsit o privada virtual en lloc de la passarel·la d'internet.

La comprovació operativa és l'observació del servei proxy d'una connexió des de cada ruta de treballador, inclòs el basculament. Mantingueu aquesta observació amb la configuració de sortida perquè un canvi de xarxa posterior es pugui reflectir a la llista d'adreces permeses del compte.