Laske välityspalvelimen lähdöt erikseen replikoista

Kolme välityspalvelimen replikaa yhden kääntävän yhdyskäytävän takana voivat silti paljastaa yhden julkisen lähdön. Konttien yksityiset osoitteet eivät määritä kohdeosoitteessa näkyvää identiteettiä.

client → published service → proxy replica → egress/NAT → destination

Seuraa piirrosta kahdessa osassa. Julkaistu palvelu valitsee, miten asiakas saavuttaa replikan. Lähtöreitti ja NAT valitsevat kyseisen replikan jatkoyhteyden lähdeosoitteen.

Docker Swarmin reititysverkko vastaanottaa liikennettä julkaistulla palveluportilla ja lähettää sen aktiiviselle tehtävälle. Tämä tukee sisääntulon jakautumista ja tehtävien sijoittelun muutoksia; se ei anna jokaiselle replikalle erillistä julkista lähtöä.

Jos erillisiä lähtöjä tarvitaan, suunnittele niiden todelliset reitit ja osoitteet, kuten erikseen reititetyt isännät tai osoitetut lähtöyhdyskäytävät, ja laske sitten havaitut ulkoiset identiteetit.

Replikan korvaaminen korvaa myös sen elävät virrat

Muodostettu CONNECT-tunneli kuuluu yhdelle välityspalvelinprosessille. Toinen tehtävä ei voi läpinäkyvästi luoda uudelleen kohteen TCP- ja TLS-tilaa korvatessaan tämän prosessin. Suunnittele uudelleenyhdistämiset ja tyhjennä pitkäikäiset yhteydet huoltoa varten.

Siirrä myös asiakkaiden todennus ja kohdekäytännöt replikoille. Kuormantasaimen onnistunut porttitarkistus on kapeampi kuin sallittu asiakas, joka neuvottelee vaaditun välityspalvelinprotokollan. Kapasiteetti, lähdön identiteetti ja yhteyksien säilyminen ovat erikseen arvioitavia vaatimuksia.