Proxy-Ausgänge getrennt von Replikaten zählen

Drei Proxy-Replikate hinter einem übersetzenden Gateway können dennoch einen öffentlichen Ausgang bereitstellen. Private Container-Adressen bestimmen nicht die am Ziel sichtbare Identität.

client → published service → proxy replica → egress/NAT → destination

Folgen Sie der Zeichnung in zwei Teilen. Der veröffentlichte Dienst wählt, wie ein Client ein Replikat erreicht. Die Ausgangsroute und NAT wählen die Quelladresse der weiterführenden Verbindung dieses Replikats.

Das Routing-Mesh von Docker Swarm nimmt Verkehr auf einem veröffentlichten Dienstport an und leitet ihn an eine aktive Aufgabe weiter. Das unterstützt die Verteilung des Einstiegs und Änderungen der Aufgabenplatzierung; es weist nicht jedem Replikat einen eigenen öffentlichen Ausgang zu.

Wenn getrennte Ausgänge erforderlich sind, entwerfen Sie deren tatsächliche Routen und Adressen, etwa separat geroutete Hosts oder zugewiesene Ausgangs-Gateways, und zählen Sie dann beobachtete nach außen sichtbare Identitäten.

Das Ersetzen eines Replikats ersetzt auch seine laufenden Streams

Ein bestehender CONNECT-Tunnel gehört zu einem Proxy-Prozess. Eine andere Aufgabe kann den TCP- und TLS-Zustand des Ziels nicht transparent neu erzeugen, wenn sie diesen Prozess ersetzt. Planen Sie Wiederverbindungen ein und entleeren Sie langlebige Verbindungen für Wartungsarbeiten.

Übertragen Sie auch Client-Authentifizierung und Zielrichtlinien auf die Replikate. Die erfolgreiche Portprüfung eines Load Balancers ist enger als ein zugelassener Client, der das erforderliche Proxy-Protokoll aushandelt. Kapazität, Ausgangsidentität und Fortbestand der Verbindung sind getrennt zu bewertende Anforderungen.