プロキシワーカー群のための送信元 IP 認証

IP 認証のプロキシアカウントは、あるワーカーからは機能し、別のワーカーからは拒否されることがあります。ワーカーごとにパブリックアドレスが異なるためです。ワーカー群はプロキシに接続する前に、意図的に設計された外向き経路を必要とします。

AWS IPv4 の一つの構成は次のとおりです。

private worker → public NAT gateway → internet gateway → proxy service → destination

パブリック NAT ゲートウェイには関連付けられた Elastic IP があります。VPC のインターネットゲートウェイを経由して送られる通信について、AWS は NAT ゲートウェイのプライベートアドレスをその Elastic IP に変換します。したがってリモートプロキシは、各ワーカーのプライベートアドレスではなく、このパブリックな外向きアドレスを許可できます。

対象ワーカーのインターネット向け通信を計画したゲートウェイ経由にし、起こりうるパブリックな外向きアドレスをプロキシサービスに登録します。配備が複数の NAT ゲートウェイや追加の外向きアドレスを使う場合は、ワーカー群が取りうるすべての経路を考慮してください。

プロキシが受け入れる送信元は一つのアドレス関係です。宛先が観測するプロキシの出口アドレスは別の関係です。アカウントに安定した接続 IP を与えても、サービスがその IP を出口として使うことを強制するわけではありません。

プライベート NAT ゲートウェイはこのパブリック Elastic IP によるインターネット構成を提供しません。AWS はまた、パブリック NAT ゲートウェイがインターネットゲートウェイではなくトランジットゲートウェイや仮想プライベートゲートウェイを経由して通信を送る場合のアドレス挙動の違いも文書化しています。

運用上の確認は、各ワーカー経路からの接続をプロキシサービスがどう観測するかであり、フェイルオーバーも含みます。その観測を外向き設定と一緒に保管し、後日のネットワーク変更をアカウントの許可リストに反映できるようにします。