面向代理工作机群的源 IP 认证

一个按 IP 认证的代理账户可能从一台工作机可用、却拒绝另一台，因为这些工作机来自不同的公网地址。机群在连接代理之前需要一条经过刻意规划的对外路径。

一种 AWS IPv4 方案是：

private worker → public NAT gateway → internet gateway → proxy service → destination

公有 NAT 网关带有一个关联的弹性 IP。对于经由 VPC 互联网关发出的流量，AWS 会把 NAT 网关的私有地址转换为该弹性 IP。因此远端代理可以授权这个公网出口地址，而不必授权每台工作机的私有地址。

让目标工作机的出网流量经由规划好的网关，并把可能的公网出口地址登记到代理服务中。如果部署使用多个 NAT 网关或额外出口地址，就要把机群可能经过的每条路径都算进去。

代理接受的源地址是一种地址关系，目标看到的代理出口地址是另一种。给账户一个稳定的连接 IP，并不会迫使服务把该 IP 当作出口。

私有 NAT 网关并不提供这种带公网弹性 IP 的上网方案。AWS 还记录了公有 NAT 网关改经中转网关或虚拟专用网关（而非互联网关）发送流量时不同的地址行为。

运维检查是代理服务对每条工作机路径所建立连接的观察，包括故障切换。请把这份观察与出口配置放在一起，以便日后的网络变更能反映到账户的白名单中。