Personalizzare l'uscita del cluster con tipi in uscita nel servizio Azure Kubernetes

Per impostazione predefinita, il servizio Azure Kubernetes usa un Load Balancer Standard per l'uscita. È possibile personalizzare questa configurazione per scenari che impediscono indirizzi IP pubblici o richiedono hop in uscita aggiuntivi.

Questo articolo descrive i tipi di connettività in uscita disponibili per i cluster del servizio Azure Kubernetes.

Limitazioni

• Per impostare outboundType, sono necessari cluster del servizio Azure Kubernetes con vm-set-type impostato su VirtualMachineScaleSets e load-balancer-sku impostato su Standard.

Tipi in uscita nel servizio Azure Kubernetes

È possibile configurare un cluster del servizio Azure Kubernetes usando i tipi in uscita seguenti: bilanciamento del carico, gateway NAT, route definite dall'utente, noneo block. Il tipo in uscita influisce solo sul traffico in uscita del cluster. Per altre informazioni, vedere Concetti relativi alla rete in ingresso.

Tipo in uscita: Bilanciamento del carico

Il bilanciamento del carico viene usato per l'uscita tramite un indirizzo IP pubblico assegnato dal servizio Azure Kubernetes. Il tipo in uscita loadBalancer supporta i servizi Kubernetes di tipo loadBalancer, che prevedono l'uscita dal bilanciamento del carico creato dal provider di risorse del servizio Azure Kubernetes.

Se loadBalancer è impostato, il servizio Azure Kubernetes completa automaticamente la configurazione seguente:

• Viene creato un indirizzo IP pubblico per l'uscita del cluster.
• L'indirizzo IP pubblico viene assegnato alla risorsa del bilanciamento del carico.
• Per i nodi agente nel cluster vengono impostati pool back-end per il bilanciamento del carico.

Per ulteriori informazioni, vedi Usare un bilanciamento del carico standard nel servizio Azure Kubernetes.

Tipo di uscita: Gateway NAT

Quando si seleziona (anteprima), managedNATGatewayo userAssignedNATGateway per outboundType, il servizio Azure Kubernetes managedNATGatewayV2 usa Gateway NAT di Azure per l'uscita del cluster.

• Selezionare o managedNATGateway per le reti virtuali gestite dal servizio Azure KubernetesmanagedNATGatewayV2. Il servizio Azure Kubernetes effettua il provisioning e collega un gateway NAT StandardV2 per managedNATGatewayV2 o un gateway NAT Standard per managedNATGateway. Il gateway NAT StandardV2 è consigliato perché è con ridondanza della zona per impostazione predefinita e offre una maggiore larghezza di banda e velocità effettiva. Per altre informazioni, vedere Gateway NAT StandardV2.
• Selezionare bring your own virtual networks (Reti userAssignedNATGateway virtuali bring your own). Creare un gateway NAT prima di creare il cluster. Sono supportati sia gli SKU del gateway NAT Standard che StandardV2.

Per altre informazioni, vedere Uso del gateway NAT con AKS.

Tipo in uscita: routes definite dall'utente

Se si imposta userDefinedRouting, il servizio Azure Kubernetes non configura automaticamente i percorsi in uscita. Configurare il percorso in uscita.

È necessario distribuire il cluster del servizio Azure Kubernetes in una rete virtuale esistente con una subnet configurata. Poiché non si usa un'architettura di Load Balancer Standard, è necessario stabilire un'uscita esplicita. Configurare una tabella di route con una 0.0.0.0/0 route che punta a un gateway o a un'appliance virtuale di rete e associare la tabella di route alla subnet del cluster.

Per altre informazioni, vedere Configurazione dell'uscita del cluster tramite il routing definito dall'utente.

Tipo in uscita: nessuno

Se si imposta none, il servizio Azure Kubernetes non configura automaticamente i percorsi in uscita. Questa opzione è simile a userDefinedRouting ma non richiede una route predefinita come parte della convalida.

Il none tipo in uscita supporta sia le reti virtuali BYO (Bring Your Own) che le reti virtuali gestite dal servizio Azure Kubernetes. Per una rete virtuale BYO, distribuire il cluster in una rete virtuale esistente con una subnet configurata. Il servizio Azure Kubernetes non crea un Load Balancer Standard o un'altra infrastruttura in uscita, quindi configurare qualsiasi percorso in uscita necessario tramite un firewall, un proxy, un gateway o un altro componente di rete personalizzato.

Tipo in uscita: blocco (Anteprima)

Se si imposta block, il servizio Azure Kubernetes configura le regole di rete per bloccare il traffico in uscita dal cluster. Questa opzione è utile per ambienti altamente sicuri in cui la connettività in uscita deve essere limitata.

Quando si usa block:

• Il servizio Azure Kubernetes garantisce che nessun traffico Internet pubblico possa lasciare il cluster tramite regole del gruppo di sicurezza di rete. Il traffico della rete virtuale non è interessato.
• È necessario consentire in modo esplicito qualsiasi traffico in uscita necessario tramite configurazioni di rete aggiuntive.

L'opzione block fornisce l'isolamento della rete, ma richiede un'attenta pianificazione per evitare di interrompere carichi di lavoro o dipendenze.

Aggiornare outboundType dopo la creazione del cluster

La modifica del tipo in uscita dopo la creazione del cluster distribuisce o rimuove le risorse come richiesto per inserire il cluster nella nuova configurazione in uscita.

Le tabelle seguenti mostrano i percorsi di migrazione supportati tra i tipi in uscita per le reti virtuali gestite e BYO. Ogni riga indica se è possibile eseguire la migrazione del tipo in uscita ai tipi elencati nella parte superiore. "Supportato" indica che la migrazione è possibile, mentre "Non supportato" o "N/A" significa che non lo è.

Percorsi di migrazione supportati per la rete virtuale gestita

La tabella seguente elenca i percorsi di migrazione dei tipi in uscita supportati per i cluster del servizio Azure Kubernetes che usano reti virtuali gestite dal servizio Azure Kubernetes.

Percorsi di migrazione supportati per la rete virtuale BYO

La tabella seguente elenca i percorsi di migrazione dei tipi in uscita supportati per i cluster del servizio Azure Kubernetes che usano reti virtuali BYO.

Aggiornare il tipo in uscita del cluster con interfaccia della riga di comando di Azure

Aggiorna la configurazione in uscita del tuo cluster usando il comando az aks update.

Aggiornare il cluster da loadBalancer a managedNATGatewayV2

Il comando seguente aggiorna il cluster per l'uso di un gateway NAT StandardV2 gestito e assegna il numero specificato di indirizzi IPv6 in uscita gestiti.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGatewayV2 --nat-gateway-managed-outbound-ipv6-count <number of managed outbound ipv6>

Aggiornare il cluster da managedNATGateway a loadBalancer

Il comando seguente aggiorna il cluster per l'uso di un servizio di bilanciamento del carico per l'uscita. Scegliere un'opzione IP in uscita: --load-balancer-managed-outbound-ip-count per gli INDIRIZZI IP pubblici gestiti dal servizio Azure Kubernetes, --load-balancer-outbound-ips per gli ID risorsa di risorse IP pubblici esistenti o --load-balancer-outbound-ip-prefixes per gli ID risorsa prefisso IP pubblico esistenti.

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
< --load-balancer-managed-outbound-ip-count <number of managed outbound ip> | --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

Aggiornare il cluster da managedNATGateway a userDefinedRouting

Prima di eseguire il comando di aggiornamento, aggiungere una 0.0.0.0/0 route alla tabella di route associata alla subnet del cluster e impostare l'hop successivo su un gateway o un'appliance virtuale di rete. Per i passaggi di configurazione completi, vedere Personalizzare l'uscita del cluster con una tabella di routing definita dall'utente in Servizio Azure Kubernetes (AKS).

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

Aggiornare il cluster da loadBalancer a userAssignedNATGateway in uno scenario di rete virtuale BYO

Prima di eseguire il comando di aggiornamento, associare un gateway NAT esistente alla subnet del cluster. Per i passaggi di configurazione completi, vedere Creare un gateway NAT gestito o assegnato dall'utente.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Contenuti correlati

• Configurare il bilanciamento del carico standard in un cluster AKS
• Configurare il gateway NAT in un cluster del servizio Azure Kubernetes
• Configurare il routing definito dall'utente in un cluster AKS
• Panoramica UDR di Rete di Azure
• Gestire le tabelle di instradamento