O Que É Tráfego de Egress? Fluxo de Rede de Saída
Tráfego de egress é o dado que flui para fora de uma rede em direção a destinos externos, como um runner baixando pacotes ou chamando uma API de terceiros.
A partir de uma fronteira de rede, o tráfego que sai é egress e o tráfego que entra é ingress. O CI é intenso em egress: cada download de dependência, pull de registry e chamada de API de saída deixa a rede. O egress é governado por política de firewall e proxy, e na nuvem frequentemente carrega um custo por gigabyte.
Saída por definição
Egress é qualquer conexão iniciada de dentro da rede para um destino externo. A direção é o que importa, não se o seu lado é cliente ou servidor.
Que egress o CI gera
- Downloads de pacotes e dependências.
- Pulls de imagens de container de registries.
- Chamadas a APIs de deploy e de terceiros.
- Uploads de artifacts e logs.
Controles de egress
Equipes de segurança frequentemente restringem o egress a uma allowlist de hosts aprovados via firewalls ou forward proxies. Isso limita o risco de exfiltração, mas pode bloquear um novo host de dependência legítimo até que ele seja adicionado.
Custos de egress
Nuvens frequentemente cobram por dados que deixam sua rede. Um pipeline que puxa imagens grandes ou faz upload de artifacts grandes entre regiões pode acumular contas surpreendentes de egress.
Egress em deployments
Um deploy que envia artifacts para um armazenamento externo ou chama uma API externa depende de o egress ser permitido. Um host de egress bloqueado faz a etapa falhar de forma determinística.
Falhas de egress transitórias
Uma requisição de egress que falha por causa de um soluço momentâneo de rede, e não de um bloqueio de política, geralmente é passível de retry. Os runners da Latchkey fazem retry automático de falhas de egress transitórias a endpoints comuns, para que um breve soluço de saída não faça um job falhar.
Principais conclusões
- Egress é tráfego de saída deixando uma rede, e o CI gera muito dele.
- O egress é moldado por allowlists e frequentemente medido com custo por gigabyte.
- Um host de egress bloqueado é determinístico; um soluço momentâneo é passível de retry.