Conta as saídas do proxy por separado das réplicas

Tres réplicas de proxy detrás dunha única pasarela de tradución poden seguir expoñendo unha soa saída pública. Os enderezos privados dos contedores non determinan a identidade visible no destino.

client → published service → proxy replica → egress/NAT → destination

Segue o debuxo en dúas partes. O servizo publicado escolle como un cliente chega a unha réplica. A ruta de saída e o NAT escolen o enderezo de orixe da conexión posterior desa réplica.

A malla de encamiñamento de Docker Swarm acepta tráfico nun porto de servizo publicado e envíao a unha tarefa activa. Iso admite a distribución de entrada e os cambios de colocación de tarefas; non asigna unha saída pública distinta a cada réplica.

Se se necesitan saídas distintas, deseña as súas rutas e enderezos reais, como hosts encamiñados por separado ou pasarelas de saída asignadas, e despois conta as identidades saíntes observadas.

Substituír unha réplica tamén substitúe os seus fluxos activos

Un túnel CONNECT establecido pertence a un único proceso de proxy. Outra tarefa non pode recrear de forma transparente o estado TCP e TLS do destino cando substitúe ese proceso. Planifica reconexións e baleira as conexións de longa duración para o mantemento.

Leva tamén a autenticación de clientes e as políticas de destino ás réplicas. A comprobación de porto correcta dun balanceador é máis estreita que un cliente permitido que negocia o protocolo de proxy requirido. A capacidade, a identidade de saída e a supervivencia das conexións son requisitos separados que hai que avaliar.