Oui, on est bien d'accord, le reverse-proxy / load-balancer ne fera pas de miracle, n'est pas la solution universelle, etc...
Mais c'est une solution qui permet de faire économiser énormèment d'adresses IP côté serveurs.

Se pose ensuite la question de l’obligation légale de pouvoir identifier l'IP source, mais aussi le port source.  Le reverse proxy peut tout loguer, mais cela augment le cout (plusieurs dizaines de Go de log par jour).

Il y a obligation légale de conserver les adresses IP côté hébergeur? Dans quel cas? Uniquement dans le cas où l'utilisateur final a la possibilité d'éditer du contenu comme sur ce forum? Je suppose que si c'est de la consultation, c'est inutile.

Leon.

Les solutions de proxy type haproxy permettent quand même de faire de grosses économies d'ip sur les grosses plateforme.

Exemple pour un site a trafic relativement important:
-3 serveurs web frontaux
-2 serveurs backend/api
-2 serveurs de bdd (master/slave)
-2 serveurs de cache d'object (type redis)
-1 VIP

Tu passes le tout en management via ipv6 (ou via ip privée) avec un haproxy devant et bim tu manges plus qu'une ip au lieu de 10

l'acces Internet du backend s'ils sont en IPv6 ULA.

Pour que le backend puisse faire des curl vers un webservice externe, et faire planter / ralentir régulièrement ton site sans aucun moyen d'action possible ?

La bonne pratique en effet;

Bouef si. Pourquoi mettre de la privée quand t'as plein d'IPs par exemple ?

good practice, de sécu notamment. après on voit de tout et n'importe quoi...

la il nous parle de "grosses plateforme" pas d'un projet d'étudiants non ? 

good practice, de sécu notamment. après on voit de tout et n'importe quoi...

la il nous parle de "grosses plateforme" pas d'un projet d'étudiants non ? 

La dessus on est totalement d'accord.
Après il y a aussi les exigences des clients / l'historique et tu as au final pas d'autres choix que de faire avec!

Et puis au final avec un deny par défaut sur le firewall tu risque pas grand chose d'un point de vue sécu

Les solutions de proxy type haproxy permettent quand même de faire de grosses économies d'ip sur les grosses plateforme.

Exemple pour un site a trafic relativement important:
-3 serveurs web frontaux
-2 serveurs backend/api
-2 serveurs de bdd (master/slave)
-2 serveurs de cache d'object (type redis)
-1 VIP

Tu passes le tout en management via ipv6 (ou via ip privée) avec un haproxy devant et bim tu manges plus qu'une ip au lieu de 10

Voilà, c'est exactement ce que je voulais dire. On est d'accord que c'est beaucoup utilisé aujourd'hui sur les "grosses plates formes".

Bouef si. Pourquoi mettre de la privée quand t'as plein d'IPs par exemple ?

C'est clairement ce qu'il se pratique actuellement côté fournisseurs de VPS et autres instances cloud public: Les machines (physiques ou virtuelles) ont majoritairement des IP publiques même si elles ne s'en servent pas du tout (admin qui les a configuré en backend ou en serveur frontal derrière un load balancer). Aujourd'hui, pour la majorité des gros fournisseurs de Cloud, on est loin de la pénurie d'IPv4, ils ont beaucoup de réserve et/ou arrivent à acheter des IPv4 "facilement", donc c'est IPv4 publique en open bar (même pour les IPv4 supplèmentaires).

Mais s'il y a vraiment pénurie d'IPv4 pour la majorité des hébergeurs (l'avenir nous le dira), alors je pense que les solutions qu'appliquent aujourd'hui les grosses plates-formes dédiées à 1 gros site (IPv4 privée + reverse proxy) se généraliseront pour les VPS, instances cloud, et autres offres mutualisées. Pour un héberger des sites/applications/services qui dialoguent en HTTP ou HTTPS (soit 90% des cas en ce moment), ça se fait très bien.
Techniquement, on sait faire, et certains fournisseurs de Cloud ont déjà des offres dans ce sens (AWS).

Leon.