Räkna proxy-utgångar separat från repliker

Tre proxyrepliker bakom en enda översättande gateway kan fortfarande exponera en enda offentlig utgång. Privata containeradresser avgör inte identiteten som syns vid destinationen.

client → published service → proxy replica → egress/NAT → destination

Följ teckningen i två delar. Den publicerade tjänsten väljer hur en klient når en replik. Utgångsvägen och NAT väljer källadressen för den replikens vidare anslutning.

Docker Swarms routing-mesh tar emot trafik på en publicerad tjänstport och skickar den till en aktiv uppgift. Det stöder fördelning av ingången och ändringar i uppgiftsplacering; det tilldelar inte varje replik en egen offentlig utgång.

Om separata utgångar krävs, utforma deras verkliga rutter och adresser, till exempel separat routade värdar eller tilldelade utgångsgatewayer, och räkna sedan observerade utåtriktade identiteter.

Att byta ut en replik byter också ut dess aktiva strömmar

En etablerad CONNECT-tunnel tillhör en enda proxyprocess. En annan uppgift kan inte transparent återskapa destinationens TCP- och TLS-tillstånd när den ersätter den processen. Planera återanslutningar och töm långlivade anslutningar vid underhåll.

För även över klientautentisering och destinationsprinciper till replikerna. En lastbalanserares lyckade portkontroll är snävare än en tillåten klient som förhandlar det nödvändiga proxyprotokollet. Kapacitet, utgångsidentitet och anslutningars överlevnad är separata krav att utvärdera.