Recommandation d'un routeur pour virtualiser 800 IPs

Je suggérerais les ACE/ASA de Cisco, les ServerIron de Foundry (maintenant Brocade) et les ZXTM de Zeus (qui sont coûteux, mais qui ont un coût élevé). maudite rapide et compétent.

Toutes ces solutions peuvent répondre à vos besoins, mais aucune n'est gratuite.

J'ai une configuration un peu similaire, où j'ai la plupart d'un bloc d'IPs /22 défini sur un boîtier F5 BigIP, avec un mappage un à un de l'IP externe vers un numéro de port interne sur chacune de mes machines backend.

Dans mon cas, les ports faisaient tous partie de la même instance Apache -- j'ai défini des contrôles de santé uniquement pour le port de base. S'il n'était pas opérationnel, aucun des autres ne l'était non plus, ce qui faisait échouer la rotation de tout le nœud backend.

Vous pourriez utiliser un routeur frontal comme vous le décrivez pour effectuer ce travail de NAT, mais vous auriez toujours besoin de définir des clusters pour chaque combinaison intermédiaire hôte:port -- avec l'état actuel de la prise en charge de SNI dans les clients, lorsque vous utilisez SSL, vous avez besoin d'un certificat mappé à un port. En général, le port est 443, ce qui permet de faire une IP par site, mais avec la couche intermédiaire du routeur/LB, vous pouvez déplacer librement les ports, mais vous devez en avoir plusieurs centaines.

Nous utilisons à la fois Vyatta (comme routeur BGP) et pfSense (pare-feu/NAT/VPN) et, à partir de la semaine prochaine, les appliances loadbalancer.org (répartition de la charge) :-)

Le problème n'est-il pas que vous avez besoin d'un système hautement disponible avec basculement pour des milliers d'IP et de certificats SSL ? Vyatta et pfSense (etc.) se contenteront de faire le transfert de port, mais il faut aussi appliquer le "transport" SSL, non ? Si Coyote/Loadbalancer.org/etc ne peut pas le faire, vous devrez soit dépenser beaucoup d'argent pour l'un des fournisseurs les plus chers (en supposant qu'ils le puissent...) ou (mieux ?) "construire votre propre système".

Utilisez keepalived pour déplacer les adresses IP entre un petit nombre de boîtes et faites en sorte que, par exemple, nginx fonctionne comme un proxy SSL qui renvoie les requêtes à votre équilibreur de charge (sur tout port approprié). Il peut même définir/forcer certains en-têtes, de sorte que la configuration de votre équilibreur de charge peut rester très simple et vous n'avez qu'à vérifier ces en-têtes sur votre backend.