Зафиксирован разбор шага 4: осуществимость замены ct(commit,nat) /
ct(nat) на публичном пути статическими правилами DNAT/un-DNAT без
состояния, при сохранении требования "бэкенд видит реальный IP
клиента, клиент получает корректный ответ от VIP".
Ключевые находки:
- условие периметра — бэкенды не должны быть достижимы клиентами
напрямую, иначе ответ на прямой запрос неотличим от ответа на
сессию через VIP по заголовкам;
- связность be<->be между разными сегментами сохраняется правилом
nw_dst=$PUB_NET в un-DNAT; связность внутри одного сегмента (т.24,
шаг 3) требует отдельного решения и не входит в объём public-only
оценки;
- установленные сессии перестают быть защищены ct при смене состава
пула — принимаемый компромисс, ранее предсказанный в STEP2_SUMMARY;
- доставка до физического сервера по MAC в EVPN-фабрике — отдельный,
не связанный с conntrack вопрос модели adjacency (табл. 21).
Это оценка осуществимости, не план внедрения и не реализация.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
ayurishchevandClaude Opus 5
f34d2edefa