Conte as saídas do proxy separadamente das réplicas

Três réplicas de proxy atrás de um único gateway de tradução ainda podem expor uma só saída pública. Os endereços privados dos contentores não determinam a identidade visível no destino.

client → published service → proxy replica → egress/NAT → destination

Siga o desenho em duas partes. O serviço publicado escolhe como um cliente chega a uma réplica. A rota de saída e o NAT escolhem o endereço de origem da ligação seguinte dessa réplica.

A malha de encaminhamento do Docker Swarm aceita tráfego numa porta de serviço publicada e envia-o para uma tarefa ativa. Isso suporta a distribuição da entrada e as mudanças de colocação de tarefas; não atribui uma saída pública distinta a cada réplica.

Se forem necessárias saídas distintas, desenhe as suas rotas e endereços reais, como anfitriões encaminhados separadamente ou gateways de saída atribuídos, e depois conte as identidades de saída observadas.

Substituir uma réplica também substitui os seus fluxos ativos

Um túnel CONNECT estabelecido pertence a um único processo de proxy. Outra tarefa não pode recriar de forma transparente o estado TCP e TLS do destino quando substitui esse processo. Planeie reconexões e esvazie as ligações de longa duração para manutenção.

Transfira também a autenticação de clientes e as políticas de destino para as réplicas. A verificação de porta bem-sucedida de um balanceador é mais estreita do que um cliente autorizado a negociar o protocolo de proxy exigido. Capacidade, identidade de saída e sobrevivência das ligações são requisitos separados a avaliar.