Encontrei uma maneira que parece funcionar, embora não completamente. É descrito aqui . A idéia é usar o algoritmo de balanceamento de carga 'Server Variable Hash' e 'HTTP_HOST' como a variável. Dessa forma, todas as instâncias do ARR mapeiam um determinado host para o mesmo servidor de conteúdo. Eu testei que eles fazem fallback para outro servidor disponível se o mapeado não estiver funcionando.
O problema com a solução, porém, é que você não pode controlar em qual servidor de conteúdo um host está mapeado, ele é determinado por uma função hash. No entanto, de certa forma está correto - se você tem medo de tornar qualquer nó ativo, como você pode esperar um failover confiável? Você precisa ter certeza em todos os seus servidores de conteúdo ao mesmo tempo.
Outro problema é que você não pode usar vários nomes de host para cada site, porque é provável que você os mapeie em servidores diferentes.