Autenticazione basata su IP di origine per una flotta di worker proxy

Un account proxy autenticato tramite IP può funzionare da un worker e rifiutarne un altro perché i worker arrivano da indirizzi pubblici diversi. La flotta ha bisogno di un percorso in uscita scelto deliberatamente prima di connettersi al proxy.

Una disposizione AWS IPv4 è:

private worker → public NAT gateway → internet gateway → proxy service → destination

Un gateway NAT pubblico ha un Elastic IP associato. Per il traffico inviato attraverso il gateway internet della VPC, AWS traduce l'indirizzo privato del gateway NAT in quell'Elastic IP. Un proxy remoto può quindi autorizzare quell'indirizzo di uscita pubblico invece dell'indirizzo privato di ciascun worker.

Instradate il traffico verso internet dei worker previsti attraverso il gateway pianificato e registrate i possibili indirizzi di uscita pubblici presso il servizio proxy. Se il deployment usa più gateway NAT o indirizzi di uscita aggiuntivi, considerate ogni percorso che la flotta può seguire.

L'origine accettata dal proxy è una relazione di indirizzi. L'indirizzo di uscita del proxy visto dalla destinazione è un'altra. Dare all'account un IP di connessione stabile non obbliga il servizio a usare quell'IP come uscita.

Un gateway NAT privato non offre questa disposizione internet con Elastic IP pubblico. AWS documenta anche un comportamento diverso degli indirizzi quando un gateway NAT pubblico invia traffico attraverso un gateway di transito o privato virtuale invece del gateway internet.

Il controllo operativo è l'osservazione del servizio proxy di una connessione da ogni percorso di worker, incluso il failover. Conservate quell'osservazione con la configurazione in uscita così che una successiva modifica di rete possa riflettersi nella lista di autorizzazione dell'account.