Käll-IP-autentisering för en flotta av proxyarbetare

Ett IP-autentiserat proxykonto kan fungera från en arbetare och neka en annan eftersom arbetarna kommer från olika offentliga adresser. Flottan behöver en medvetet vald väg utåt innan den ansluter till proxyn.

En AWS IPv4-uppsättning är:

private worker → public NAT gateway → internet gateway → proxy service → destination

En offentlig NAT-gateway har en associerad Elastic IP. För trafik som skickas via VPC:ns internetgateway översätter AWS NAT-gatewayens privata adress till den Elastic IP:n. En fjärrproxy kan därför auktorisera den offentliga utgångsadressen i stället för varje arbetares privata adress.

Dirigera de avsedda arbetarnas internettrafik via den planerade gatewayen och registrera de möjliga offentliga utgångsadresserna hos proxytjänsten. Om driftsättningen använder flera NAT-gatewayer eller extra utgångsadresser, ta höjd för varje väg flottan kan ta.

Källan som proxyn accepterar är en adressrelation. Den utgångsadress som målet ser från proxyn är en annan. Att ge kontot en stabil anslutnings-IP tvingar inte tjänsten att använda den IP:n som utgång.

En privat NAT-gateway ger inte denna internetuppsättning med offentlig Elastic IP. AWS dokumenterar också ett annat adressbeteende när en offentlig NAT-gateway skickar trafik via en transit- eller virtuell privat gateway i stället för internetgatewayen.

Den operationella kontrollen är proxytjänstens observation av en anslutning från varje arbetarrutt, inklusive redundansväxling. Spara den observationen tillsammans med utgångskonfigurationen så att en senare nätverksändring kan återspeglas i kontots tillåtelselista.