Autenticación por IP de origen para una flota de trabajadores proxy

Una cuenta proxy autenticada por IP puede funcionar desde un trabajador y rechazar otro porque los trabajadores llegan desde direcciones públicas distintas. La flota necesita una ruta de salida deliberada antes de conectarse al proxy.

Una disposición de AWS IPv4 es:

private worker → public NAT gateway → internet gateway → proxy service → destination

Una puerta de enlace NAT pública tiene una Elastic IP asociada. Para el tráfico enviado a través de la puerta de enlace de internet de la VPC, AWS traduce la dirección privada de la puerta de enlace NAT a esa Elastic IP. Por eso un proxy remoto puede autorizar esa dirección de salida pública en lugar de la dirección privada de cada trabajador.

Dirija el tráfico hacia internet de los trabajadores previstos a través de la puerta de enlace planificada y registre las posibles direcciones de salida públicas en el servicio proxy. Si el despliegue usa varias puertas de enlace NAT o direcciones de salida adicionales, tenga en cuenta todas las rutas que la flota pueda tomar.

El origen que acepta el proxy es una relación de direcciones. La dirección de salida del proxy que ve el destino es otra. Dar a la cuenta una IP de conexión estable no obliga al servicio a usar esa IP como su salida.

Una puerta de enlace NAT privada no ofrece esta disposición de internet con Elastic IP pública. AWS también documenta un comportamiento distinto de las direcciones cuando una puerta de enlace NAT pública envía tráfico a través de una puerta de enlace de tránsito o privada virtual en lugar de la puerta de enlace de internet.

La comprobación operativa es la observación del servicio proxy de una conexión desde cada ruta de trabajador, incluida la conmutación por error. Mantenga esa observación junto con la configuración de salida para que un cambio de red posterior pueda reflejarse en la lista de permitidos de la cuenta.