Regole in uscita in Azure Load Balancer

Le regole in uscita permettono di definire esplicitamente la traduzione degli indirizzi di rete sorgente (SNAT) per un Load Balancer Standard pubblico. Questa configurazione consente di usare gli indirizzi IP pubblici del servizio di bilanciamento del carico per fornire connettività Internet in uscita per le istanze back-end.

Questa configurazione abilita:

  • Mascheramento IP
  • Semplificazione degli elenchi consentiti.
  • Riduzione del numero di risorse IP pubbliche per la distribuzione.

Con le regole in uscita, si ha il controllo dichiarativo completo sulla connettività Internet in uscita. Le regole in uscita consentono di ridimensionare e ottimizzare questa capacità in base alle proprie esigenze specifiche.

Le regole di outbound si applicano solo quando la macchina virtuale (VM) backend non ha un indirizzo IP pubblico a livello di istanza.

Screenshot della configurazione delle porte SNAT nelle macchine virtuali con regole di bilanciamento del carico in uscita.

Con le regole in uscita, è possibile definire in modo esplicito il comportamento SNAT in uscita.

Le regole in uscita consentono di controllare:

  • Quali macchine virtuali vengono traslate a quali indirizzi IP pubblici.
    • Due regole in cui il pool back-end 1 usa entrambi gli indirizzi IP azzurri e il pool back-end 2 usa il prefisso IP giallo.
  • Modalità di allocazione delle porte SNAT in uscita.
    • Se il pool back-end 2 è l'unico pool che effettua connessioni in uscita, assegnare tutte le porte SNAT al pool back-end 2 e nessuna porta al pool back-end 1.
  • Per quali protocolli implementare la traslazione in uscita.
    • Se il pool back-end 2 richiede porte UDP per l'uscita e il pool back-end 1 richiede TCP, assegnare le porte TCP a 1 e le porte UDP a 2.
  • Quale durata usare per il timeout di inattività delle connessioni in uscita (4-120 minuti).
    • Se sono presenti connessioni a esecuzione prolungata con keep-alive, riservare le porte inattive per le connessioni a esecuzione prolungata per un massimo di 120 minuti. Si supponga che le connessioni obsolete vengano abbandonate e rilasciate le porte in 4 minuti per le nuove connessioni
  • Inviare o meno una reimpostazione TCP in caso di timeout di inattività.
    • Quando si verifica il timeout delle connessioni inattive, viene inviato un RST TCP al client e al server in modo che sappiano che il flusso viene abbandonato?

Importante

Quando un pool back-end è configurato per indirizzo IP, si comporta come un Load Balancer di Base con l'opzione predefinita di uscita abilitata. Per una configurazione sicura per impostazione predefinita e per applicazioni con requisiti di uscita impegnativi, configurare il pool back-end in base alla scheda di interfaccia di rete (NIC).

Definizione delle regole in uscita

Le regole in uscita seguono la stessa sintassi familiare del bilanciamento del carico e delle regole NAT in ingresso: front-end + parametri + pool back-end.

Una regola in uscita configura NAT in uscita per tutte le macchine virtuali identificate dal pool back-end da convertire in front-end.

I parametri offrono un controllo dettagliato sull'algoritmo NAT in uscita.

Scalare il NAT in uscita utilizzando più indirizzi IP

Ogni indirizzo IP aggiuntivo fornito da un front-end rende disponibili altre 64.000 porte temporanee che il bilanciamento del carico può usare come porte SNAT. Il load balancer utilizza gli indirizzi IP a seconda delle necessità in base alle porte disponibili. Il bilanciamento del carico userà l'IP successivo dopo che le connessioni non possono più essere effettuate con l'IP corrente in uso.

Usare più indirizzi IP per pianificare scenari su larga scala. Usare le regole in uscita per attenuare l'esaurimento SNAT come descritto in Support e risoluzione dei problemi per Azure Load Balancer.

Inoltre, è possibile usare direttamente un prefisso IP pubblico con una regola in uscita.

Un prefisso IP pubblico aumenta la scalabilità della distribuzione. Il prefisso può essere aggiunto all'elenco di flussi consentiti provenienti dalle risorse Azure. È possibile configurare una configurazione IP front-end all'interno del bilanciamento del carico in modo da fare riferimento direttamente al prefisso di un indirizzo IP pubblico.

Il servizio di bilanciamento del carico ha il controllo sul prefisso IP pubblico. La regola in uscita userà automaticamente altri indirizzi IP pubblici contenuti nel prefisso IP pubblico dopo che non sarà più possibile stabilire altre connessioni in uscita con l'IP corrente in uso dal prefisso.

Ognuno degli indirizzi IP all'interno del prefisso IP pubblico rende disponibili altre 64.000 porte temporanee per ogni indirizzo IP utilizzabili dal bilanciamento del carico come porte SNAT.

Timeout di inattività del flusso in uscita e reimpostazione TCP

Le regole in uscita includono un parametro di configurazione per controllare il timeout di inattività per i flussi in uscita in modo da adattarlo alle esigenze dell'applicazione. Il timeout di inattività in uscita predefinito è di 4 minuti. Per altre informazioni, vedere Configurare i timeout di inattività.

Il comportamento predefinito del bilanciamento del carico prevede l'eliminazione automatica del flusso quando viene raggiunto il timeout di inattività in uscita. Il parametro enableTCPReset abilita un comportamento e un controllo prevedibili dell'applicazione. Il parametro determina se inviare un reset TCP (TCP RST) bidirezionale allo scadere del timeout dell'inattività delle connessioni in uscita.

Vedere Reimpostazione TCP in caso di timeout di inattività per informazioni dettagliate, inclusa la disponibilità a livello di area.

Protezione e controllo della connettività in uscita in modo esplicito

Le regole di bilanciamento del carico supportano la programmazione automatica di NAT in uscita. Alcuni scenari traggono vantaggio o richiedono di disabilitare la programmazione automatica di NAT in uscita tramite la regola di bilanciamento del carico. La disabilitazione tramite la regola consente di controllare o perfezionare il comportamento.

È possibile usare questo parametro in due modi:

  1. Prevenzione dell'indirizzo IP in ingresso per SNAT in uscita. Disabilitare SNAT in uscita nella regola di bilanciamento del carico.

  2. Regola i parametri SNAT in uscita di un indirizzo IP usato sia in ingresso che in uscita contemporaneamente. Deve essere disabilitato il NAT automatico in uscita per consentire alla regola in uscita di assumere il controllo. Ad esempio, per modificare l'allocazione della porta SNAT di un indirizzo usato anche in ingresso, il parametro disableOutboundSnat deve essere impostato su true.

L'operazione per configurare una regola in uscita ha esito negativo se si tenta di ridefinire un indirizzo IP usato per l'ingresso. Disabilitare prima di tutto il NAT in uscita della regola di bilanciamento del carico.

Importante

La macchina virtuale non avrà connettività in uscita se si imposta questo parametro su true e non si dispone di una regola in uscita per definire la connettività in uscita. Alcune operazioni della macchina virtuale o dell'applicazione possono dipendere dalla disponibilità della connettività in uscita. Assicurarsi di valutare le dipendenze dello scenario e l'impatto di questa modifica.

A volte, è preferibile che a una VM non sia consentito creare un flusso in uscita. Potrebbe essere necessario gestire le destinazioni che ricevono flussi in uscita o le destinazioni che avviano i flussi in ingresso. Usare i gruppi di sicurezza della rete per gestire le destinazioni che la VM può raggiungere. Usare gli NSG per gestire le destinazioni pubbliche che avviano i flussi in ingresso.

Quando si applica un gruppo di sicurezza di rete a una macchina virtuale con carico bilanciato, considerare i tag del servizio e le regole di sicurezza predefinite.

Assicurarsi che la macchina virtuale possa ricevere richieste di probe di integrità da Azure Load Balancer.

Se un gruppo di sicurezza di rete blocca le richieste della sonda di integrità dal tag predefinito AZURE_LOADBALANCER, la sonda di integrità della macchina virtuale avrà esito negativo e la VM sarà contrassegnata come non disponibile. Il servizio di bilanciamento del carico interrompe l'invio di nuovi flussi a tale macchina virtuale.

Scenari di regole in uscita

Scenario 1: Configurare le connessioni in uscita a un set di indirizzi IP pubblici o un prefisso specifici

Configura gli indirizzi IP pubblici utilizzati per le connessioni in uscita

Questo scenario si applica alle VM backend su un Load Balancer Standard pubblico. Usalo per far partire le connessioni in uscita da un specifico insieme di indirizzi IP pubblici o da un prefisso IP pubblico. Puoi poi aggiungere quegli indirizzi o il prefisso a una lista di permessi o a una lista di blocchi.

Questo indirizzo IP pubblico o prefisso può essere uguale a quello usato da una regola di bilanciamento del carico.

Per usare un prefisso o un indirizzo IP pubblico diverso da quello usato da una regola di bilanciamento del carico:

  1. Creare un prefisso IP pubblico o un indirizzo IP pubblico.
  2. Creare un Load Balancer Standard pubblico
  3. Creare un front-end che fa riferimento al prefisso IP pubblico o all'indirizzo IP pubblico che si desidera usare.
  4. Riutilizzare un pool back-end o creare un pool back-end e posizionare le macchine virtuali in un pool back-end del Load Balancer pubblico
  5. Configurare una regola in uscita per il Load Balancer pubblico per abilitare la NAT in uscita per le macchine virtuali tramite front-end. Non è consigliabile usare una regola di bilanciamento del carico per il traffico in uscita. Disabilitare SNAT in uscita nella regola di bilanciamento del carico.

Scenario 2: Modificare l'allocazione delle porte SNAT

Configura le porte SNAT per ogni istanza backend

Questo scenario si applica a un Load Balancer Standard pubblico con una regola in uscita. Usalo per regolare l'assegnazione automatica delle porte SNAT in base alla dimensione del pool backend, incluso aumentare l'allocazione quando sperimenti esaurimento del SNAT.

Regola di allocazione Behavior
Porte disponibili per il frontend Ogni indirizzo IP pubblico può rendere disponibili fino a 64.000 porte temporanee.
Porte disponibili per VM Dividi il totale delle porte disponibili tra le VM nel pool backend. Ad esempio, una VM può ricevere fino a 64.000 porte da un indirizzo IP frontend, mentre due VM possono ricevere fino a 32.000 porte ciascuna.
Incremento di allocazione Specificare porte in multipli di otto. Azure rifiuta valori che non sono divisibili per otto. Le regole di bilanciamento del carico e quelle NAT in entrata consumano ciascuna un intervallo di otto porte, ma le regole che condividono lo stesso intervallo non consumano porte extra.
Validazione della capacità Le porte assegnate per ogni VM moltiplicate per il numero di VM non possono superare le porte disponibili da tutti gli indirizzi IP frontend. Azure rifiuta le allocazioni che superano questa capacità.
Ripristino dell'allocazione automatica Specifica 0 il numero di porte.

Ad esempio, un'assegnazione di 10.000 porte per ogni VM per sette VM richiede 70.000 porte. Un indirizzo IP frontend fornisce solo 64.000 porte, quindi Azure rifiuta la configurazione. Aggiungi un altro indirizzo IP pubblico al frontend o riduci l'allocazione per VM.

Per maggiori informazioni, consulta la tabella di allocazione delle porte SNAT.

Scenario 3: Abilitare solo l'uscita dati

Fornire connettività in uscita senza regole in entrata

Questo scenario si applica a un Load Balancer Standard pubblico le cui VM backend necessitano di connettività in uscita senza regole di bilanciamento del carico in entrata. Configura la regola in uscita da sola, senza configurare regole aggiuntive.

Nota

Gateway NAT di Azure può fornire connettività in uscita per le macchine virtuali senza la necessità di un servizio di bilanciamento del carico. Per altre informazioni, vedere Che è Gateway NAT di Azure?.

Scenario 4: NAT solo in uscita per le macchine virtuali (non in ingresso)

Nota

Gateway NAT di Azure può fornire connettività in uscita per le macchine virtuali senza la necessità di un servizio di bilanciamento del carico. Per altre informazioni, vedere Che è Gateway NAT di Azure?.

Configura la connettività solo in uscita per le VM di backend

Questo scenario si applica alle VM che necessitano di uscire da una rete virtuale senza connettività in entrata. Le regole outbound di Azure Load Balancer e Gateway NAT di Azure sono le opzioni disponibili.

  1. Creare un IP pubblico o un prefisso.
  2. Creare un Load Balancer Standard pubblico.
  3. Creare un front-end associato all'indirizzo IP pubblico o al prefisso dedicato per il traffico in uscita.
  4. Creare un pool back-end per le VM.
  5. Collocare le macchine virtuali nel pool back-end.
  6. Configurare una regola in uscita per abilitare NAT in uscita.

Usare un prefisso o un indirizzo IP pubblico per ridimensionare le porte SNAT. Aggiungere l'origine delle connessioni in uscita a un elenco di indirizzi consentiti o bloccati.

Scenario 5: NAT in uscita per il bilanciatore di carico standard interno

Nota

Gateway NAT di Azure può fornire connettività in uscita per le macchine virtuali che usano un servizio di bilanciamento del carico standard interno. Per altre informazioni, vedere Che è Gateway NAT di Azure?.

Fornire connettività in uscita per un bilanciatore di carico standard interno

Questo scenario si applica alle VM backend che utilizzano un bilanciatore di carico standard interno. Queste VM non hanno connettività in uscita finché non la fornisci esplicitamente tramite indirizzi IP pubblici a livello di istanza, Gateway NAT di Azure o una configurazione di bilanciatore di carico pubblico solo in uscita che associ ai membri del pool backend.

Per altre informazioni, vedere Configurazione del bilanciamento del carico solo in uscita.

Scenario 6: Abilitare entrambi i protocolli TCP e UDP per NAT in uscita con un Load Balancer Standard pubblico

Abilita TCP e UDP per il NAT in uscita

Questo scenario si applica a un Load Balancer Standard pubblico. Il NAT automatico in uscita corrisponde al protocollo di trasporto della regola di bilanciamento del carico. Per fornire sia la connettività in uscita TCP che UDP, configura una regola in uscita che utilizzi tutti i protocolli.

  1. Disabilitare SNAT in uscita per la regola di bilanciamento del carico.
  2. Configurare una regola in uscita per lo stesso bilanciatore del carico.
  3. Riutilizzare il pool back-end già usato dalle macchine virtuali.
  4. Specificare "protocol": "All" come parte della regola outbound.

Quando si usano solo regole NAT in ingresso, non viene fornito alcun NAT in uscita.

  1. Posizionare le macchine virtuali in un pool backend.
  2. Definire una o più configurazioni IP front-end con indirizzi IP pubblici o prefisso IP pubblico
  3. Configurare una regola in uscita per lo stesso bilanciatore del carico.
  4. Specificare "protocol": "All" come parte della regola in uscita

Limiti

  • Il numero massimo di porte temporanee utilizzabili per ogni indirizzo IP front-end è 64.000.
  • L'intervallo del timeout di inattività in uscita configurabile è compreso tra 4 a 120 minuti (da 240 a 7200 secondi).
  • Load Balancer non supporta ICMP per NAT in uscita; gli unici protocolli supportati sono TCP e UDP.
  • Le regole in uscita possono essere applicate solo alla configurazione IPv4 primaria di una scheda di interfaccia di rete. Non è possibile creare una regola in uscita per le configurazioni IPv4 secondarie di una macchina virtuale o di un'appliance virtuale di rete. Sono supportate più schede di interfaccia di rete.
  • Le regole in uscita per la configurazione IP secondaria sono supportate solo per IPv6.
  • Tutte le macchine virtuali all'interno di un set di disponibilità devono essere aggiunte al pool back-end per la connettività in uscita.
  • Tutte le macchine virtuali all'interno di un set di scalabilità di macchine virtuali devono essere aggiunte al pool back-end per la connettività in uscita.

Passaggi successivi

  • Last updated on