假设我有一个用于为客户提供服务的小型 Web 基础设施，其中包含 nginx 作为前端服务器、几个后端（上游）、一个消息系统、数据库等等。
这些内容位于两台专用服务器上。服务器之间有 LAN，并且每台服务器至少有一个公共 IP 地址。并且所有公共地址都位于同一广播网段中（通过交换机或 VLAN 连接 - 无关紧要）。这两个网络上的延迟相同。
我有两个选择来在系统各部分之间进行通信：在所有配置中使用本地 IP 或改用公共 IP。在第一种情况下，我将拥有稍微复杂一些的基础设施（由两个网络引起）。在第二种情况下，我的系统将更加透明，但我担心网络通信的隐私。
对于使用某种方法是否存在一些规则或最佳实践？
答案1
使用第二个网络进行内部通信。这样可以减少面向公众的接口的攻击面，并且可以更轻松地监控/管理通信。您肯定不想向公众开放数据库端口、消息服务器或其他任何东西。事实上，除了最前端的服务器 (nginx) 之外，不要将任何东西放在公众可触及的范围内。
你不希望你的系统对用户透明。你希望你的系统是一个神秘的黑匣子，只留一个小孔与外界进行必要的交互。