Personalización de la salida del clúster con tipos de salida en Azure Kubernetes Service (AKS)

De forma predeterminada, AKS usa una Standard Load Balancer para la salida. Puede personalizar esta configuración para escenarios que prohíben direcciones IP públicas o requieren saltos de salida adicionales.

En este artículo se describen los tipos de conectividad de salida disponibles para los clústeres de AKS.

Limitaciones

• La configuración de outboundType requiere clústeres de AKS con un valor de vm-set-type de VirtualMachineScaleSets, y un valor de load-balancer-sku de Standard.

Tipos de salida en AKS

Puede configurar un clúster de AKS mediante los siguientes tipos de salida: equilibrador de carga, puerta de enlace NAT, rutas definidas por el usuario, noneo block. El tipo de salida afecta solo al tráfico de salida del clúster. Para obtener más información, consulte conceptos de redes de entrada.

Tipo de salida: Balanceador de carga

El equilibrador de carga se usa para la salida a través de una dirección IP pública asignada a AKS. El tipo de salida de loadBalancer admite los servicios de Kubernetes del tipo loadBalancer, que esperan la salida del equilibrador de carga creado por el proveedor de recursos de AKS.

Si se establece loadBalancer, AKS completa automáticamente la configuración siguiente:

• Se crea una dirección IP pública para la salida del clúster.
• La dirección IP pública se asocia al recurso de equilibrador de carga.
• Se configuran los grupos de back-end del equilibrador de carga para los nodos del agente en el clúster.

Para más información, consulte Uso de un equilibrador de carga estándar en AKS.

Tipo de salida: Puerta de enlace NAT

Al seleccionar managedNATGatewayV2 (versión preliminar), managedNATGatewayo userAssignedNATGateway para outboundType, AKS usa Azure NAT Gateway para la salida del clúster.

• Seleccione managedNATGatewayV2 o managedNATGateway para redes virtuales administradas por AKS. AKS aprovisiona y asocia una puerta de enlace NAT StandardV2 para managedNATGatewayV2 o una puerta de enlace NAT estándar para managedNATGateway. Se recomienda la puerta de enlace NAT de StandardV2 porque es con redundancia de zona de forma predeterminada y ofrece un mayor ancho de banda y rendimiento. Para más información, consulte StandardV2 NAT Gateway.
• Seleccione userAssignedNATGateway para traer sus propias redes virtuales. Cree una puerta de enlace NAT antes de crear el clúster. Se admiten las SKU de puerta de enlace NAT Standard y StandardV2.

Para obtener más información, consulte usar puerta de enlace NAT con AKS.

Tipo de salida: rutas definidas por el usuario

Si establece userDefinedRouting, AKS no configura automáticamente las rutas de acceso de salida. Configure la ruta de acceso de salida.

Debe implementar el clúster de AKS en una red virtual existente con una subred que configure. Dado que no usa una arquitectura de Standard Load Balancer, debe establecer una salida explícita. Configure una tabla de rutas con una 0.0.0.0/0 ruta que apunte a una puerta de enlace o aplicación virtual de red y asocie la tabla de rutas a la subred del clúster.

Para más información, consulte Configuración de la salida del clúster a través del enrutamiento definido por el usuario.

Tipo de salida: ninguno

Si establece none, AKS no configura automáticamente las rutas de acceso de salida. Esta opción es similar a userDefinedRouting pero no requiere una ruta predeterminada como parte de la validación.

El none tipo de salida admite redes virtuales administradas por AKS y bring-your-own (BYO). Para una red virtual BYO, implemente el clúster en una red virtual existente con una subred configurada. AKS no crea una Standard Load Balancer u otra infraestructura de salida, por lo que configura cualquier ruta de salida necesaria a través de un firewall, proxy, puerta de enlace u otro componente de red personalizado.

Tipo de salida: bloqueo (versión preliminar)

Si establece block, AKS configura reglas de red para bloquear el tráfico de salida del clúster. Esta opción es útil para entornos muy seguros en los que se debe restringir la conectividad saliente.

Al usar block:

• AKS garantiza que ningún tráfico de Internet público salga del clúster a través de reglas de grupo de seguridad de red (NSG). El tráfico de red virtual no se ve afectado.
• Debe permitir explícitamente cualquier tráfico de salida necesario a través de configuraciones de red adicionales.

La block opción proporciona aislamiento de red, pero requiere una planeación cuidadosa para evitar interrumpir las cargas de trabajo o las dependencias.

Actualización después de outboundType la creación del clúster

Cambiar el tipo de salida de tráfico después de crear el clúster despliega o elimina recursos según sea necesario para ajustar el clúster a la nueva configuración de salida.

En las tablas siguientes, se muestran las rutas de migración admitidas entre los tipos de salida para las redes virtuales administradas y propias. En cada fila se muestra si el tipo de salida se puede migrar a los tipos enumerados en la parte superior. "Compatible" significa que la migración es posible, mientras que "No compatible" o "N/A" significa que no lo es.

Rutas de migración admitidas para la red virtual administrada

En la tabla siguiente se enumeran las rutas de migración de tipos de salida admitidas para los clústeres de AKS que usan redes virtuales administradas por AKS.

Rutas de migración admitidas para la red virtual BYO

En la tabla siguiente se enumeran las rutas de migración de tipos de salida admitidas para los clústeres de AKS que usan redes virtuales BYO.

Actualizar el tipo de salida de clúster con CLI de Azure

Actualice la configuración de salida del clúster mediante el comando az aks update.

Actualización del clúster de loadBalancer a managedNATGatewayV2

El siguiente comando actualiza el clúster para usar una puerta de enlace NAT de StandardV2 administrada y asigna el número especificado de direcciones IPv6 de salida administradas.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGatewayV2 --nat-gateway-managed-outbound-ipv6-count <number of managed outbound ipv6>

Actualización del clúster de managedNATGateway a loadBalancer

El siguiente comando actualiza el clúster para usar un equilibrador de carga para la salida. Elija una opción de IP de salida: --load-balancer-managed-outbound-ip-count para direcciones IP públicas administradas por AKS, --load-balancer-outbound-ips para identificadores de recursos de IP pública existentes o --load-balancer-outbound-ip-prefixes para identificadores de recursos de prefijo de IP pública existentes.

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
< --load-balancer-managed-outbound-ip-count <number of managed outbound ip> | --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

Actualización del clúster de managedNATGateway a userDefinedRouting

Antes de ejecutar el comando update, agregue una 0.0.0.0/0 ruta a la tabla de rutas asociada a la subred del clúster y establezca el próximo salto en una puerta de enlace o aplicación virtual de red. Para ver los pasos de configuración completos, consulte Personalización de la salida del clúster con una tabla de enrutamiento definida por el usuario en Azure Kubernetes Service (AKS).

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

Actualización del clúster desde loadBalancer a userAssignedNATGateway en un escenario de red virtual BYO

Antes de ejecutar el comando update, asocie una puerta de enlace NAT existente a la subred del clúster. Para ver los pasos de configuración completos, consulte Creación de una puerta de enlace NAT administrada o asignada por el usuario.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Contenido relacionado

• Configuración del equilibrio de carga estándar en un clúster de AKS
• Configuración de NAT Gateway en un clúster de AKS
• Configuración del enrutamiento definido por el usuario en un clúster de AKS
• Descripción general de la UDR de Azure para redes
• Administrar las tablas de rutas