Numărați ieșirile proxy separat de replici

Trei replici proxy în spatele unei singure porți de traducere pot expune în continuare o singură ieșire publică. Adresele private ale containerelor nu determină identitatea vizibilă la destinație.

client → published service → proxy replica → egress/NAT → destination

Urmați desenul în două părți. Serviciul publicat alege cum ajunge un client la o replică. Ruta de ieșire și NAT aleg adresa sursă a conexiunii ulterioare a acelei replici.

Rețeaua de rutare a Docker Swarm acceptă trafic pe un port de serviciu publicat și îl trimite către o sarcină activă. Aceasta sprijină distribuirea intrării și modificările de plasare a sarcinilor; nu atribuie o ieșire publică distinctă fiecărei replici.

Dacă sunt necesare ieșiri distincte, proiectați rutele și adresele lor reale, cum ar fi gazde rutate separat sau porți de ieșire alocate, apoi numărați identitățile de ieșire observate.

Înlocuirea unei replici înlocuiește și fluxurile sale active

Un tunel CONNECT stabilit aparține unui singur proces proxy. O altă sarcină nu poate recrea transparent starea TCP și TLS a destinației atunci când înlocuiește acel proces. Planificați reconectările și goliți conexiunile de lungă durată pentru mentenanță.

Transferați și autentificarea clienților și politicile de destinație către replici. Verificarea reușită a portului de către un echilibrator de încărcare este mai îngustă decât un client permis care negociază protocolul proxy necesar. Capacitatea, identitatea ieșirii și supraviețuirea conexiunilor sunt cerințe separate de evaluat.