Licz wyjścia proxy oddzielnie od replik

Trzy repliki proxy za jedną bramą tłumaczącą nadal mogą ujawniać jedno publiczne wyjście. Prywatne adresy kontenerów nie określają tożsamości widocznej w miejscu docelowym.

client → published service → proxy replica → egress/NAT → destination

Prześledź rysunek w dwóch częściach. Opublikowana usługa wybiera, jak klient dociera do repliki. Trasa wyjściowa i NAT wybierają adres źródłowy dalszego połączenia tej repliki.

Siatka routingu Docker Swarm przyjmuje ruch na opublikowanym porcie usługi i wysyła go do aktywnego zadania. Wspiera to dystrybucję wejścia i zmiany rozmieszczenia zadań; nie przypisuje każdej replice odrębnego publicznego wyjścia.

Jeśli potrzebne są odrębne wyjścia, zaprojektuj ich rzeczywiste trasy i adresy, na przykład osobno trasowane hosty lub przypisane bramy wyjściowe, a następnie licz obserwowane tożsamości zewnętrzne.

Wymiana repliki wymienia także jej aktywne strumienie

Ustanowiony tunel CONNECT należy do jednego procesu proxy. Inne zadanie nie może w sposób przezroczysty odtworzyć stanu TCP i TLS miejsca docelowego, gdy zastępuje ten proces. Planuj ponowne połączenia i opróżniaj długotrwałe połączenia na potrzeby konserwacji.

Przenieś także uwierzytelnianie klientów i zasady miejsca docelowego na repliki. Udana kontrola portu przez równoważenie obciążenia jest węższa niż dozwolony klient negocjujący wymagany protokół proxy. Wydajność, tożsamość wyjścia i przetrwanie połączeń to odrębne wymagania do oceny.