Počítajte výstupy proxy oddelene od replík

Tri repliky proxy za jedinou prekladajúcou bránou môžu napriek tomu vykazovať jeden verejný výstup. Privátne adresy kontajnerov neurčujú identitu viditeľnú v cieli.

client → published service → proxy replica → egress/NAT → destination

Sledujte nákres v dvoch častiach. Publikovaná služba volí, ako sa klient dostane k replike. Výstupná trasa a NAT volia zdrojovú adresu nadväzujúceho spojenia tejto repliky.

Smerovacia sieť Docker Swarm prijíma prevádzku na publikovanom porte služby a posiela ju aktívnej úlohe. Podporuje to distribúciu vstupu a zmeny umiestnenia úloh; neprideľuje každej replike samostatný verejný výstup.

Ak sú potrebné odlišné výstupy, navrhnite ich skutočné trasy a adresy, napríklad samostatne smerované hostiteľa alebo pridelené výstupné brány, a potom počítajte pozorované vonkajšie identity.

Nahradenie repliky nahradí aj jej živé toky

Nadviazaný tunel CONNECT patrí jednému procesu proxy. Iná úloha nemôže pri nahradení tohto procesu transparentne obnoviť stav TCP a TLS cieľa. Plánujte opätovné pripojenia a pri údržbe vypúšťajte dlhodobé spojenia.

Preneste na repliky aj autentifikáciu klientov a zásady cieľa. Úspešná kontrola portu od vyvažovača je užšia než povolený klient vyjednávajúci požadovaný protokol proxy. Kapacita, identita výstupu a prežitie spojení sú samostatné požiadavky na posúdenie.