Che cosa sopravvive a un failover VIP del proxy?
Separare il recupero dell'ingresso del proxy dalla sopravvivenza dei tunnel CONNECT già stabiliti e dall'indirizzo di uscita verso il sito web.
Un indirizzo flottante mantiene stabile la configurazione del proxy: i client continuano a usare lo stesso nome host o IP dopo il guasto della macchina attiva. È una disponibilità utile. Tuttavia un download già in corso può comunque interrompersi.
Si consideri una richiesta HTTPS già dentro CONNECT. Il proxy attivo possiede la connessione TCP verso il client e un'altra connessione verso il sito web. Possiede anche lo stato dell'applicazione che unisce questi flussi.
Spostare un indirizzo su una macchina di riserva non sposta da solo né il blocco di controllo TCP né quello stato di inoltro. Il nuovo titolare può accettare nuove connessioni senza poter proseguire un flusso di byte stabilito dal vecchio titolare.
| Aspettativa | Il failover di indirizzo ordinario lo fornisce? |
|---|---|
| Conservare un solo ingresso configurato | È il vantaggio previsto |
| Proseguire un flusso CONNECT stabilito | Servirebbe un meccanismo con stato aggiuntivo |
| Conservare lo stesso IP pubblico in uscita | Dipende dall'instradamento in uscita e dal NAT |
| Ripetere in sicurezza un'operazione interrotta | Dipende dall'operazione e dal client |
VRRP definisce l'elezione e la proprietà dell'indirizzo. Non è un protocollo di replica per il processo proxy. Un deployment con altro software di alta disponibilità necessita della stessa distinzione, a meno che non fornisca esplicitamente di più.
Esaminate che cosa osserva davvero il controllo di integrità. Una macchina può rispondere agli annunci mentre il suo servizio proxy, il DNS o la rotta a monte sono guasti. Al contrario, controlli troppo sensibili possono causare commutazioni inutili.
Anche il recupero lato client conta. Una nuova richiesta del browser può riconnettersi facilmente; un caricamento con un corpo consumato o un'operazione API non idempotente può richiedere una gestione specifica dell'applicazione. Non promettete un failover invisibile solo perché una nuova richiesta riesce attraverso la riserva.