Kjelde-IP-autentisering for ein flåte med proxy-arbeidarar

Ein IP-autentisert proxy-konto kan fungere frå éin arbeidar og avvise ein annan fordi arbeidarane kjem frå ulike offentlege adresser. Flåten treng ein medvite vald veg ut før han koplar seg til proxyen.

Eitt AWS IPv4-oppsett er:

private worker → public NAT gateway → internet gateway → proxy service → destination

Ein offentleg NAT-gateway har ein tilknytt Elastic IP. For trafikk som blir send gjennom internettgatewayen til VPC-en, omset AWS den private adressa til NAT-gatewayen til den Elastic IP-en. Ein ekstern proxy kan difor autorisere denne offentlege utgangsadressa i staden for den private adressa til kvar arbeidar.

Rut internettrafikken til dei tiltenkte arbeidarane gjennom den planlagde gatewayen og registrer dei moglege offentlege utgangsadressene hos proxy-tenesta. Dersom utrullinga brukar fleire NAT-gatewayar eller ekstra utgangsadresser, må du ta høgd for kvar veg flåten kan ta.

Kjelda proxyen godtek, er eitt adressehøve. Utgangsadressa som målstaden ser frå proxyen, er eit anna. Å gje kontoen ein stabil tilkoplings-IP tvingar ikkje tenesta til å bruke den IP-en som utgang.

Ein privat NAT-gateway gjev ikkje dette internettoppsettet med offentleg Elastic IP. AWS dokumenterer òg annan adresseåtferd når ein offentleg NAT-gateway sender trafikk gjennom ein transit- eller virtuell privat gateway i staden for internettgatewayen.

Den operative kontrollen er observasjonen til proxy-tenesta av ei tilkopling frå kvar arbeidarrute, inkludert failover. Ta vare på observasjonen saman med utgangskonfigurasjonen slik at ei seinare nettverksendring kan speglast i tillatingslista til kontoen.