Autenticação por IP de origem para uma frota de trabalhadores proxy

Uma conta proxy autenticada por IP pode funcionar a partir de um trabalhador e rejeitar outro porque os trabalhadores chegam de endereços públicos diferentes. A frota precisa de um caminho de saída deliberado antes de conectar-se ao proxy.

Uma disposição AWS IPv4 é:

private worker → public NAT gateway → internet gateway → proxy service → destination

Um gateway NAT público tem um Elastic IP associado. Para o tráfego enviado pelo gateway de internet da VPC, a AWS traduz o endereço privado do gateway NAT para esse Elastic IP. Um proxy remoto pode, portanto, autorizar esse endereço de saída público em vez do endereço privado de cada trabalhador.

Encaminhe o tráfego para a internet dos trabalhadores previstos pelo gateway planejado e registre os possíveis endereços de saída públicos no serviço proxy. Se a implantação usa vários gateways NAT ou endereços de saída adicionais, considere todos os caminhos que a frota pode percorrer.

A origem aceita pelo proxy é uma relação de endereços. O endereço de saída do proxy visto pelo destino é outra. Dar à conta um IP de conexão estável não obriga o serviço a usar esse IP como saída.

Um gateway NAT privado não oferece essa disposição de internet com Elastic IP público. A AWS também documenta um comportamento diferente dos endereços quando um gateway NAT público envia tráfego por um gateway de trânsito ou privado virtual em vez do gateway de internet.

A verificação operacional é a observação do serviço proxy de uma conexão a partir de cada rota de trabalhador, incluindo o failover. Guarde essa observação junto com a configuração de saída para que uma mudança de rede posterior possa refletir-se na lista de permissões da conta.