Anpassen des ausgehenden Clusters mit ausgehenden Typen in Azure Kubernetes Service (AKS)

Standardmäßig verwendet AKS einen Load Balancer Standard für ausgehenden Datenverkehr. Sie können diese Konfiguration für Szenarien anpassen, die öffentliche IP-Adressen verbieten oder zusätzliche Egress-Hops erfordern.

In diesem Artikel werden die typen der ausgehenden Konnektivität beschrieben, die für AKS-Cluster verfügbar sind.

Einschränkungen

• Für outboundType sind AKS-Cluster erforderlich, bei denen vm-set-type als VirtualMachineScaleSets und load-balancer-sku als Standard festgelegt ist.

Ausgehende Verbindungstypen in AKS

Sie können einen AKS-Cluster mit den folgenden ausgehenden Typen konfigurieren: Lastenausgleich, NAT-Gateway, benutzerdefinierte Routen, none oder block. Der ausgehende Typ wirkt sich nur auf den Ausgehenden Datenverkehr Ihres Clusters aus. Weitere Informationen finden Sie unter Ingress-Netzwerkkonzepte.

Ausgehender Typ: Load Balancer

Der Load Balancer wird für Egress über eine von AKS zugewiesene öffentliche IP-Adresse verwendet. Ein ausgehender Typ von loadBalancer unterstützt Kubernetes-Dienste vom Typ loadBalancer, die ausgehenden Datenverkehr von der Lastenausgleichsressource erwarten, der vom AKS-Ressourcenanbieter erstellt wurde.

Wenn loadBalancer festgelegt ist, führt AKS automatisch die folgende Konfiguration durch:

• Für ausgehenden Datenverkehr vom Cluster wird eine öffentliche IP-Adresse erstellt.
• Die öffentliche IP-Adresse ist der Lastenausgleichsressource zugewiesen.
• Back-End-Pools für das Lastenausgleichssystem werden für Agent-Knoten im Cluster eingerichtet.

Weitere Informationen finden Sie unter Verwenden eines standardmäßigen Lastenausgleichs in AKS.

Ausgehender Typ: NAT-Gateway

Wenn Sie userAssignedNATGateway oder outboundType für managedNATGateway auswählen, verwendet AKS Azure NAT Gateway für den ausgehenden Clusterdatenverkehr.

• Wählen Sie managedNATGateway für von AKS verwaltete virtuelle Netzwerke aus. Ab API-Version 2026-06-01 verwendet AKS standardmäßig StandardV2 in Regionen, in denen es verfügbar ist, und andernfalls Standard.
• Wählen Sie userAssignedNATGateway für kundenverwaltete virtuelle Netzwerke aus. Erstellen Sie ein NAT-Gateway, bevor Sie den Cluster erstellen. Sowohl die STANDARD- als auch die StandardV2 NAT-Gateway-SKUs werden unterstützt.

StandardV2 NAT Gateway wird empfohlen, da es standardmäßig zonenredundant ist und eine höhere Bandbreite und einen höheren Durchsatz bietet. Weitere Informationen finden Sie unter StandardV2 NAT-Gateway.

Weitere Informationen finden Sie unter Verwenden des NAT Gateways mit AKS.

Ausgehender Typ: Benutzerdefinierte Routen

Wenn Sie userDefinedRouting festlegen, konfiguriert AKS nicht automatisch Ausgangspfade. Sie konfigurieren den Egress-Pfad.

Sie müssen den AKS-Cluster in einem vorhandenen virtuellen Netzwerk mit einem von Ihnen konfigurierten Subnetz bereitstellen. Da Sie keine Load Balancer Standard-Architektur verwenden, müssen Sie einen expliziten ausgehenden Internetzugang einrichten. Konfigurieren Sie eine Routentabelle mit einer 0.0.0.0/0-Route, die auf ein Gateway oder eine virtuelle Netzwerkappliance verweist, und ordnen Sie die Routentabelle dem Clustersubnetz zu.

Weitere Informationen finden Sie unter Konfigurieren des ausgehenden Clusters über benutzerdefiniertes Routing.

Outbound-Typ: keiner

Wenn Sie none festlegen, konfiguriert AKS nicht automatisch Ausgangspfade. Diese Option ähnelt userDefinedRouting , erfordert jedoch keine Standardroute als Teil der Überprüfung.

Der none ausgehende Typ unterstützt sowohl bring-your-own (BYO) als auch AKS-verwaltete virtuelle Netzwerke. Stellen Sie für ein virtuelles BYO-Netzwerk den Cluster in einem vorhandenen virtuellen Netzwerk mit einem konfigurierten Subnetz bereit. AKS erstellt keinen Load Balancer Standard und keine andere Ausgangsinfrastruktur. Konfigurieren Sie daher jeden erforderlichen ausgehenden Pfad über eine Firewall, einen Proxy, ein Gateway oder eine andere benutzerdefinierte Netzwerkkomponente.

Ausgehender Typ: Block (Vorschau)

Wenn Sie block festlegen, konfiguriert AKS Netzwerkregeln, um den ausgehenden Datenverkehr vom Cluster zu blockieren. Diese Option ist nützlich für hochsichere Umgebungen, in denen ausgehende Verbindungen eingeschränkt werden müssen.

Folgendes ist bei Verwendung von block zu beachten:

• AKS stellt sicher, dass kein öffentlicher Internetdatenverkehr den Cluster über NSG-Regeln (Netzwerksicherheitsgruppen) verlassen kann. Der VNet-Datenverkehr ist nicht betroffen.
• Sie müssen explizit sämtlichen erforderlichen ausgehenden Datenverkehr über zusätzliche Netzwerkkonfigurationen zulassen.

Die Option block bietet eine Netzwerkisolation, erfordert jedoch eine sorgfältige Planung, um Arbeitslasten oder Abhängigkeiten nicht zu beeinträchtigen.

Nach der Clustererstellung outboundType aktualisieren

Wenn Sie den Egress-Typ nach der Clustererstellung ändern, werden Ressourcen nach Bedarf hinzugefügt oder entfernt, um den Cluster auf die neue Egress-Konfiguration einzustellen.

Die folgenden Tabellen zeigen die unterstützten Migrationspfade zwischen ausgehenden Typen für verwaltete und virtuelle BYO-Netzwerke. Jede Zeile zeigt an, ob der ausgehende Typ zu den oben aufgelisteten Typen migriert werden kann. "Unterstützt" bedeutet, dass die Migration möglich ist, während "Nicht unterstützt" oder "N/A" bedeutet, dass sie nicht möglich ist.

Unterstützte Migrationspfade für verwaltetes VNet

In der folgenden Tabelle sind die unterstützten Migrationspfade für Outboundtypen für AKS-Cluster aufgeführt, die von AKS verwaltete virtuelle Netzwerke verwenden.

Verwaltetes NAT-Gateway-SKU-Verhalten

In der folgenden Tabelle wird beschrieben, wie sich die verwaltete NAT-Gateway-SKU mit API-Version 2026-06-01 und höher verhält.

Unterstützte Migrationspfade für BYO VNet

In der folgenden Tabelle sind unterstützte Migrationspfade für ausgehende Typen für AKS-Cluster aufgeführt, die BYO-Virtual Networks verwenden.

Outboundtyp des Clusters mit Azure CLI aktualisieren

Aktualisieren Sie die ausgehende Konfiguration Ihres Clusters mithilfe des Befehls az aks update.

Cluster von loadBalancer auf managedNATGateway mit StandardV2 aktualisieren

Wenn Sie API-Version 2026-06-01 oder höher verwenden und in einer Region mit StandardV2-NAT-Gatewayverfügbarkeit arbeiten, wird die SKU für den Ausgangstyp managedNATGateway standardmäßig auf StandardV2 festgelegt.

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway"
      }
    }
  }
}

Aktualisieren des Clusters von loadBalancer zu userAssignedNATGateway in einem BYO-VNet-Szenario

Ordnen Sie vor dem Ausführen des Aktualisierungsbefehls ein vorhandenes NAT-Gateway dem Cluster-Subnetz zu. Vollständige Konfigurationsschritte finden Sie unter Erstellen eines verwalteten oder vom Benutzer zugewiesenen NAT-Gateways.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Verwandte Inhalte

• Konfigurieren des Standardlastenausgleichs in einem AKS-Cluster
• Konfigurieren des NAT Gateways in einem AKS-Cluster
• Konfigurieren des benutzerdefinierten Routings in einem AKS-Cluster
• Azure Netzwerk-UDR-Übersicht
• Verwalten von Routingtabellen