Autentificare după IP sursă pentru o flotă de lucrători proxy

Un cont proxy autentificat după IP poate funcționa de la un lucrător și îl poate respinge pe altul, deoarece lucrătorii provin din adrese publice diferite. Flota are nevoie de o cale spre exterior aleasă deliberat înainte de a se conecta la proxy.

O amenajare AWS IPv4 este:

private worker → public NAT gateway → internet gateway → proxy service → destination

Un gateway NAT public are un Elastic IP asociat. Pentru traficul trimis prin gateway-ul de internet al VPC-ului, AWS traduce adresa privată a gateway-ului NAT în acel Elastic IP. Un proxy la distanță poate deci autoriza această adresă de ieșire publică în locul adresei private a fiecărui lucrător.

Direcționați traficul spre internet al lucrătorilor vizați prin gateway-ul planificat și înregistrați posibilele adrese de ieșire publice la serviciul proxy. Dacă implementarea folosește mai multe gateway-uri NAT sau adrese de ieșire suplimentare, luați în calcul fiecare cale pe care o poate urma flota.

Sursa acceptată de proxy este o relație de adrese. Adresa de ieșire a proxy-ului văzută de destinație este alta. Oferirea unei IP de conectare stabile contului nu obligă serviciul să folosească acea IP ca ieșire.

Un gateway NAT privat nu oferă această amenajare de internet cu Elastic IP public. AWS documentează și un comportament diferit al adreselor când un gateway NAT public trimite trafic printr-un gateway de tranzit sau privat virtual în locul gateway-ului de internet.

Verificarea operațională este observarea de către serviciul proxy a unei conexiuni din fiecare rută de lucrător, inclusiv comutarea pe calea de rezervă. Păstrați acea observație împreună cu configurația de ieșire, astfel încât o modificare de rețea ulterioară să se reflecte în lista de adrese permise a contului.