Authentification par IP source pour une flotte de workers proxy

Un compte proxy authentifié par IP peut fonctionner depuis un worker et en refuser un autre, car les workers arrivent depuis des adresses publiques différentes. La flotte a besoin d'un chemin sortant choisi délibérément avant de se connecter au proxy.

Un agencement AWS IPv4 est le suivant :

private worker → public NAT gateway → internet gateway → proxy service → destination

Une passerelle NAT publique possède une Elastic IP associée. Pour le trafic envoyé via la passerelle internet du VPC, AWS traduit l'adresse privée de la passerelle NAT en cette Elastic IP. Un proxy distant peut donc autoriser cette adresse de sortie publique au lieu de l'adresse privée de chaque worker.

Acheminez le trafic internet des workers visés via la passerelle prévue et enregistrez les adresses de sortie publiques possibles auprès du service proxy. Si le déploiement utilise plusieurs passerelles NAT ou des adresses de sortie supplémentaires, tenez compte de chaque chemin que la flotte peut emprunter.

La source acceptée par le proxy est une relation d'adressage. L'adresse de sortie du proxy observée par la destination en est une autre. Attribuer au compte une IP de connexion stable ne force pas le service à utiliser cette IP comme sortie.

Une passerelle NAT privée n'offre pas cet agencement internet à Elastic IP publique. AWS documente également un comportement d'adressage différent lorsqu'une passerelle NAT publique envoie le trafic via une passerelle de transit ou privée virtuelle au lieu de la passerelle internet.

Le contrôle opérationnel est l'observation par le service proxy d'une connexion depuis chaque route de worker, y compris le basculement. Conservez cette observation avec la configuration de sortie afin qu'un changement réseau ultérieur puisse être reflété dans la liste d'autorisation du compte.