Настройка исходящего трафика кластера с исходящими типами в Azure Kubernetes Service (AKS)

По умолчанию AKS использует Load Balancer (цен. категория "Стандартный") для исходящего трафика. Эту конфигурацию можно настроить для сценариев, которые запрещают общедоступные IP-адреса или требуют дополнительных прыжков исходящего трафика.

В этой статье описываются типы исходящих подключений, доступные для кластеров AKS.

Ограничения

• Для настройки outboundType требуются кластеры AKS с vm-set-typeVirtualMachineScaleSets и load-balancer-skuStandard.

Исходящие типы в AKS

Кластер AKS можно настроить с помощью следующих исходящих типов: подсистема балансировки нагрузки, шлюз NAT, определяемые пользователем маршруты noneили block. Исходящий тип влияет только на исходящий трафик кластера. Дополнительные сведения см. в концепциях входящего трафика.

Тип исходящего трафика: Балансировщик нагрузки

Подсистема балансировки нагрузки используется для исходящего трафика через общедоступный IP-адрес, назначенный AKS. Тип исходящего трафика loadBalancer поддерживает службы Kubernetes типа loadBalancer, которые ожидают исходящий трафик из балансировщика нагрузки, созданного поставщиком ресурсов AKS.

Если loadBalancer задано, AKS автоматически завершает следующую конфигурацию:

• Общедоступный IP-адрес создается для исходящего трафика кластера.
• Общедоступный IP-адрес назначается ресурсу балансировщика нагрузки.
• Серверные пулы для подсистемы балансировки нагрузки настраиваются для агентских узлов в кластере.

Дополнительные сведения см. в статье об использовании стандартной подсистемы балансировки нагрузки в AKS.

Тип исходящего трафика: шлюз NAT

При выборе managedNATGatewayV2 (предварительная версия) managedNATGatewayили userAssignedNATGateway для outboundTypeAKS используется Azure NAT Gateway для исходящего трафика кластера.

• Выберите managedNATGatewayV2 или managedNATGateway для виртуальных сетей, управляемых AKS. AKS подготавливает и подключает шлюз NAT StandardV2 для managedNATGatewayV2 или шлюза NAT уровня "Стандартный".managedNATGateway Шлюз NAT StandardV2 рекомендуется, так как по умолчанию он является избыточным по зонам и предлагает более высокую пропускную способность и пропускную способность. Дополнительные сведения см. в статье "Шлюз NAT StandardV2".
• Выберите userAssignedNATGateway для собственных виртуальных сетей. Создайте шлюз NAT перед созданием кластера. Поддерживаются номера SKU шлюза NAT standard и StandardV2.

Дополнительные сведения см. в статье об использовании шлюза NAT с AKS.

Исходящий тип: маршруты, заданные пользователем

Если задано userDefinedRouting, AKS не настраивает пути исходящего трафика автоматически. Вы настраиваете путь исходящего трафика.

Кластер AKS необходимо развернуть в существующей виртуальной сети с настроенной подсетью. Так как вы не используете архитектуру Load Balancer (цен. категория "Стандартный"), необходимо установить явный исходящий трафик. Настройте таблицу маршрутов с маршрутом 0.0.0.0/0 , указывающим на шлюз или сетевое виртуальное устройство, и свяжите таблицу маршрутов с подсетью кластера.

Дополнительные сведения см. в статье о настройке исходящего трафика кластера с помощью определяемой пользователем маршрутизации.

Исходящий тип: нет

Если задано none, AKS не настраивает пути исходящего трафика автоматически. Этот параметр аналогичен, userDefinedRouting но не требует маршрута по умолчанию в рамках проверки.

Исходящий none тип поддерживает как собственные виртуальные сети, так и управляемые AKS виртуальные сети. Для виртуальной сети BYO разверните кластер в существующей виртуальной сети с настроенной подсетью. AKS не создает Load Balancer (цен. категория "Стандартный") или другую инфраструктуру исходящего трафика, поэтому настройте необходимый путь исходящего трафика через брандмауэр, прокси-сервер, шлюз или другой настраиваемый сетевой компонент.

Тип исходящего трафика: блок (предварительная версия)

Если задано block, AKS настраивает сетевые правила для блокировки исходящего трафика из кластера. Этот параметр полезен для высокозащищенных сред, где необходимо ограничить исходящее подключение.

Применяя block, помните следующие правила.

• AKS гарантирует, что общедоступный интернет-трафик не может покидать кластер через правила группы безопасности сети (NSG). Трафик виртуальной сети не затронут.
• Необходимо явно разрешить любой необходимый исходящий трафик через дополнительные конфигурации сети.

Этот block параметр обеспечивает сетевую изоляцию, но требует тщательного планирования, чтобы избежать нарушения рабочих нагрузок или зависимостей.

Обновление outboundType после создания кластера

Изменение типа исходящего трафика после создания кластера развертывает или удаляет ресурсы, чтобы адаптировать кластер к новой конфигурации выхода.

В следующих таблицах показаны поддерживаемые пути миграции между исходящими типами для управляемых виртуальных сетей и виртуальных сетей BYO. Каждая строка показывает, можно ли перенести исходящий тип в типы, перечисленные в верхней части. "Поддерживаемый" означает, что миграция возможна, а "Не поддерживается" или "N/A" означает, что это не так.

Поддерживаемые пути миграции для управляемой виртуальной сети

В следующей таблице перечислены поддерживаемые пути миграции исходящего типа для кластеров AKS, использующих виртуальные сети, управляемые AKS.

Поддерживаемые пути миграции для виртуальной сети BYO

В следующей таблице перечислены поддерживаемые пути миграции исходящего типа для кластеров AKS, использующих виртуальные сети BYO.

Обновление исходящего типа кластера с помощью Azure CLI

Обновите исходящую конфигурацию кластера с помощью az aks update команды.

Обновление кластера из loadBalancer на managedNATGatewayV2

Следующая команда обновляет кластер для использования управляемого шлюза NAT StandardV2 и назначает указанное число управляемых исходящих IPv6-адресов.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGatewayV2 --nat-gateway-managed-outbound-ipv6-count <number of managed outbound ipv6>

Обновление кластера из managedNATGateway на loadBalancer

Следующая команда обновляет кластер для использования подсистемы балансировки нагрузки для исходящего трафика. Выберите один исходящий IP-адрес: --load-balancer-managed-outbound-ip-count для общедоступных IP-адресов, управляемых AKS, --load-balancer-outbound-ips для существующих идентификаторов ресурсов общедоступного IP-адреса или --load-balancer-outbound-ip-prefixes для существующих идентификаторов ресурсов префикса общедоступных IP-адресов.

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
< --load-balancer-managed-outbound-ip-count <number of managed outbound ip> | --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

Обновление кластера из managedNATGateway на userDefinedRouting

Перед выполнением команды обновления добавьте 0.0.0.0/0 маршрут в таблицу маршрутов, связанную с подсетью кластера, и задайте следующий прыжок шлюзу или сетевому виртуальному устройству. Полные действия по настройке см. в разделе "Настройка исходящего трафика кластера" с помощью пользовательской таблицы маршрутизации в Azure Kubernetes Service (AKS).

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

Обновление кластера с loadBalancer на userAssignedNATGateway в сценарии BYO-сети VNet

Перед выполнением команды обновления свяжите существующий шлюз NAT с подсетью кластера. Полные действия по настройке см. в статье "Создание управляемого или назначаемого пользователем шлюза NAT".

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Связанный контент

• Настройка стандартной балансировки нагрузки в кластере AKS
• Настройка шлюза NAT в кластере AKS
• Настройка определяемой пользователем маршрутизации в кластере AKS
• Обзор Azure сетевых UDR
• Управление таблицами маршрутов