Đếm lối ra proxy tách biệt với bản sao

Ba bản sao proxy sau một cổng chuyển dịch vẫn có thể chỉ lộ ra một lối ra công khai. Địa chỉ container riêng không quyết định danh tính hiển thị tại đích.

client → published service → proxy replica → egress/NAT → destination

Theo dõi hình vẽ theo hai phần. Dịch vụ được công bố chọn cách máy khách đến một bản sao. Tuyến ra và NAT chọn địa chỉ nguồn của kết nối tiếp theo của bản sao đó.

Lưới định tuyến của Docker Swarm nhận lưu lượng trên cổng dịch vụ được công bố và gửi đến một tác vụ đang hoạt động. Điều đó hỗ trợ phân phối lối vào và thay đổi vị trí tác vụ; nó không gán một lối ra công khai riêng cho mỗi bản sao.

Nếu cần các lối ra riêng biệt, hãy thiết kế tuyến và địa chỉ thực của chúng, chẳng hạn máy chủ được định tuyến riêng hoặc cổng ra được chỉ định, rồi các danh tính hướng ra quan sát được.

Thay thế một bản sao cũng thay thế các luồng trực tiếp của nó

Một đường hầm CONNECT đã thiết lập thuộc về một tiến trình proxy. Tác vụ khác không thể tái tạo minh bạch trạng thái TCP và TLS của đích khi nó thay thế tiến trình đó. Hãy lập kế hoạch kết nối lại và xả các kết nối dài hạn để bảo trì.

Chuyển cả xác thực máy khách và chính sách đích sang các bản sao. Kiểm tra cổng thành công của bộ cân bằng tải hẹp hơn một máy khách được phép thương lượng giao thức proxy cần thiết. Dung lượng, danh tính lối ra và sự tồn tại của kết nối là những yêu cầu riêng cần đánh giá.