Personalización de la salida del clúster con tipos de salida en Azure Kubernetes Service (AKS)

De forma predeterminada, AKS usa un equilibrador de carga estándar para el tráfico de salida. Puede personalizar esta configuración para escenarios que prohíben direcciones IP públicas o requieren saltos de salida adicionales.

En este artículo se describen los tipos de conectividad de salida disponibles para los clústeres de AKS.

Limitaciones

• La configuración de outboundType requiere clústeres de AKS con un valor de vm-set-type de VirtualMachineScaleSets, y un valor de load-balancer-sku de Standard.

Tipos de salida en AKS

Puede configurar un clúster de AKS mediante los siguientes tipos de salida: equilibrador de carga, puerta de enlace NAT, rutas definidas por el usuario, noneo block. El tipo de salida afecta solo al tráfico de salida del clúster. Para obtener más información, consulte conceptos de redes de entrada.

Tipo de salida: Balanceador de carga

El equilibrador de carga se usa para la salida a través de una dirección IP pública asignada a AKS. El tipo de salida de loadBalancer admite los servicios de Kubernetes del tipo loadBalancer, que esperan la salida del equilibrador de carga creado por el proveedor de recursos de AKS.

Si se establece loadBalancer, AKS completa automáticamente la configuración siguiente:

• Se crea una dirección IP pública para la salida del clúster.
• La dirección IP pública se asocia al recurso de equilibrador de carga.
• Se configuran los grupos de back-end del equilibrador de carga para los nodos del agente en el clúster.

Para más información, consulte Uso de un equilibrador de carga estándar en AKS.

Tipo de salida: Puerta de enlace NAT

Al seleccionar managedNATGateway o userAssignedNATGateway para outboundType, AKS usa Azure NAT Gateway para la salida del clúster.

• Seleccione managedNATGateway para redes virtuales administradas por AKS. A partir de la versión 2026-06-01de LA API, AKS tiene StandardV2 como valor predeterminado en regiones donde está disponible y, de lo contrario, usa Standard.
• Seleccione userAssignedNATGateway para redes virtuales de tipo "traiga la suya". Cree una puerta de enlace NAT antes de crear el clúster. Se admiten las SKU de puerta de enlace NAT Standard y StandardV2.

Se recomienda la puerta de enlace NAT de StandardV2 porque es con redundancia de zona de forma predeterminada y ofrece un mayor ancho de banda y rendimiento. Para más información, consulte StandardV2 NAT Gateway.

Para obtener más información, consulte usar puerta de enlace NAT con AKS.

Tipo de salida: rutas definidas por el usuario

Si establece userDefinedRouting, AKS no configura automáticamente las rutas de salida. Usted configura la ruta de salida.

Debe implementar el clúster de AKS en una red virtual existente con una subred que debe configurar. Como no utiliza una arquitectura de equilibrador de carga estándar, debe establecer una salida explícita. Configure una tabla de rutas con una ruta 0.0.0.0/0 que apunte a una puerta de enlace o un dispositivo virtual de red, y asocie la tabla de rutas a la subred del clúster.

Para más información, consulte Configuración de la salida del clúster a través del enrutamiento definido por el usuario.

Tipo de salida: ninguno

Si establece none, AKS no configura automáticamente las rutas de salida. Esta opción es similar a userDefinedRouting pero no requiere una ruta predeterminada como parte de la validación.

El tipo de salida none admite tanto las redes virtuales de tipo "traiga la suya" (BYO) como las administradas por AKS. Para una red virtual Bring Your Own (BYO), implemente el clúster en una red virtual existente con una subred configurada. AKS no crea una Standard Load Balancer u otra infraestructura de salida, por lo que configura cualquier ruta de salida necesaria a través de un firewall, proxy, puerta de enlace u otro componente de red personalizado.

Tipo de salida: bloqueo (versión preliminar)

Si establece block, AKS configura reglas de red para bloquear el tráfico de salida del clúster. Esta opción es útil para entornos muy seguros en los que se debe restringir la conectividad saliente.

Al usar block:

• AKS garantiza que ningún tráfico de Internet público salga del clúster a través de reglas de grupo de seguridad de red (NSG). El tráfico de red virtual no se ve afectado.
• Debe permitir explícitamente cualquier tráfico de salida necesario a través de configuraciones de red adicionales.

La block opción proporciona aislamiento de red, pero requiere una planeación cuidadosa para evitar interrumpir las cargas de trabajo o las dependencias.

Actualiza outboundType después de la creación del clúster

Cambiar el tipo de salida de tráfico después de crear el clúster despliega o elimina recursos según sea necesario para ajustar el clúster a la nueva configuración de salida.

En las tablas siguientes, se muestran las rutas de migración admitidas entre los tipos de salida para las redes virtuales administradas y propias. En cada fila se muestra si el tipo de salida se puede migrar a los tipos enumerados en la parte superior. "Compatible" significa que la migración es posible, mientras que "No compatible" o "N/A" significa que no lo es.

Rutas de migración admitidas para la red virtual administrada

En la tabla siguiente se enumeran las rutas de migración de tipos de salida admitidas para los clústeres de AKS que usan redes virtuales administradas por AKS.

Comportamiento de la SKU de la puerta de enlace NAT administrada

En la tabla siguiente se describe cómo se comporta la SKU de puerta de enlace NAT administrada con la versión 2026-06-01 de API y versiones posteriores.

Rutas de migración admitidas para la red virtual BYO

En la tabla siguiente se enumeran las rutas de migración de tipos de salida admitidas para los clústeres de AKS que usan redes virtuales propias.

Actualizar el tipo de tráfico saliente del clúster con CLI de Azure

Actualice la configuración de salida del clúster mediante el comando az aks update.

Actualizar clúster de loadBalancer a managedNATGateway con StandardV2

Cuando se usa la versión 2026-06-01 de la API o posterior y se trabaja en una región con disponibilidad de puerta de enlace NAT de StandardV2, la SKU tiene StandardV2 como valor predeterminado para el tipo managedNATGatewayde salida .

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway"
      }
    }
  }
}

Actualización del clúster desde loadBalancer a userAssignedNATGateway en un escenario de red virtual BYO

Antes de ejecutar el comando update, asocie una puerta de enlace NAT existente a la subred del clúster. Para ver los pasos de configuración completos, consulte Crear una puerta de enlace NAT administrada o asignada por el usuario.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Contenido relacionado

• Configuración del equilibrio de carga estándar en un clúster de AKS
• Configuración de NAT Gateway en un clúster de AKS
• Configuración del enrutamiento definido por el usuario en un clúster de AKS
• Descripción general de la UDR de Azure para redes
• Administrar las tablas de rutas