Creación de una puerta de enlace NAT administrada o asignada por el usuario para el clúster de Azure Kubernetes Service (AKS)

Se aplica a: ✔️ AKS Automatic ✔️ AKS Standard

Para la mayoría de las cargas de trabajo de producción, AKS Automático es la configuración predeterminada recomendada y lista para producción de AKS. Los clústeres automáticos de AKS incluyen una puerta de enlace NAT administrada preconfigurada.

En AKS Standard, puede crear o configurar una puerta de enlace NAT administrada cuando desee la conectividad saliente administrada por AKS para el clúster. Para escenarios de red trae tu propio (BYO), utiliza una puerta de enlace NAT asignada por el usuario.

Aunque puede enrutar el tráfico de salida a través de un Azure Load Balancer, hay limitaciones en el número de flujos de tráfico saliente que puede establecer. Azure NAT Gateway admite hasta 64 512 flujos de tráfico UDP y TCP salientes por dirección IP con un máximo de 16 direcciones IP. La puerta de enlace NAT admite dos tipos de salida: managedNATGateway y userAssignedNATGateway.

En este artículo se muestra cómo crear un clúster de AKS con una puerta de enlace NAT administrada y una puerta de enlace NAT asignada por el usuario para el tráfico saliente. También muestra cómo deshabilitar OutboundNAT para Windows.

Requisitos previos

Los clústeres automáticos de AKS incluyen una puerta de enlace NAT administrada preconfigurada. Los pasos de este artículo son principalmente para escenarios de red estándar y personalizados de AKS.

• Asegúrese de que usa la versión más reciente de CLI de Azure.
• Asegúrese de que usa la versión 1.20.x o posterior de Kubernetes.
• La puerta de enlace NAT administrada no es compatible con redes virtuales personalizadas.

Puerta de enlace NAT administrada en AKS

AKS Automatic usa una puerta de enlace NAT administrada como parte de su configuración predeterminada preconfigurada y lista para producción. Use esta sección si está trabajando con AKS Standard o si necesita comprender cómo se comporta la puerta de enlace NAT administrada en un clúster de AKS.

La puerta de enlace NAT administrada es la opción de salida administrada por AKS. AKS crea y administra la puerta de enlace NAT para proporcionar conectividad saliente para los nodos del clúster.

Use la puerta de enlace NAT administrada cuando desee:

• Conectividad de salida administrada por AKS con menos sobrecarga operativa.
• Una ruta de salida predeterminada apta para producción.
• Administración de salida más sencilla que una implementación de puerta de enlace NAT administrada por el cliente.
• Un modelo de red estándar de AKS sin usar un recurso de puerta de enlace NAT propio.

Creación de un clúster de AKS con puerta de enlace NAT administrada

Parámetros ip de salida

En la tabla siguiente se describen todos los parámetros IP de salida y cuándo usarlos:

Elija una SKU de puerta de enlace NAT administrada

A partir de la versión 2026-06-01 de la API, managedNATGateway admite las SKU StandardV2 y Standard a través de networkProfile.natGatewayProfile.sku. StandardV2 es el valor predeterminado para los nuevos clústeres en regiones admitidas cuando la solicitud usa esta versión de API o posterior. Las solicitudes que usan una versión anterior de la API conservan el comportamiento estándar existente.

Se recomienda la puerta de enlace NAT de StandardV2 porque tiene redundancia de zona de forma predeterminada y ofrece un mayor ancho de banda y rendimiento. StandardV2 requiere direcciones IP públicas StandardV2 y prefijos StandardV2. Los recursos de ip pública de SKU estándar existentes no son compatibles con standardV2 NAT Gateway. Revise las limitaciones clave de StandardV2 NAT Gateway para obtener la lista actual de regiones no admitidas.

El requisito de IP pública de StandardV2 solo se aplica a las direcciones IP salientes de la puerta de enlace NAT. El equilibrador de carga administrado por AKS que atiende los servicios type: LoadBalancer sigue siendo un equilibrador de carga Standard y requiere IP públicas Standard. Si preaprovisiona el inventario etiquetado de IP públicas, planifique ambas SKU: StandardV2 para la salida de la puerta de enlace NAT y Standard para los servicios de entrada.

Funcionalidades de SKU de puerta de enlace NAT administradas

El managedNATGateway tipo de salida admite diferentes funcionalidades en función del valor de networkProfile.natGatewayProfile.sku.

Creación de un clúster de AKS

Cree un clúster de AKS ejecutando el az aks create comando con el --outbound-type managedNATGateway parámetro . AKS se establece de forma predeterminada en la SKU StandardV2 en las regiones admitidas y en la SKU Standard en las regiones no admitidas.

az aks create \
    --resource-group <resource-group> \
    --name <cluster-name> \
    --location <location> \
    --outbound-type managedNATGateway \
    --nat-gateway-managed-outbound-ip-count 1 \
    --generate-ssh-keys

Configuración de direcciones IP de salida para una puerta de enlace NAT de StandardV2 administrada

En las regiones que tienen StandardV2 disponible, configure las direcciones salientes mediante uno de los siguientes enfoques. No puede combinar la configuración de salida administrada por Azure y definida por el cliente.

Utilizar las IP administradas por Azure

Utilice managedOutboundIPProfile para que AKS asigne y administre las direcciones IPv4 e IPv6 públicas salientes.

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway",
      "natGatewayProfile": {
          "managedOutboundIPProfile": {
          "count": 1,
          "countIPv6": 1
        }
      }
    }
  }
}

Usar direcciones IP y prefijos definidos por el cliente

Utilice outboundIPs y outboundIPPrefixes para proporcionar direcciones IP o prefijos públicos precreados. Estos recursos deben usar la SKU StandardV2. Las direcciones IP públicas y los prefijos de SKU estándar existentes no son compatibles con una puerta de enlace NAT StandardV2.

1. Cree una dirección IP pública StandardV2 con redundancia de zona y un prefijo ip pública.

   export MY_IP_ID=$(az network public-ip create \
       --resource-group $MY_RG \
       --name $MY_IP \
       --location eastus2 \
       --sku StandardV2 \
       --allocation-method Static \
       --version IPv4 \
       --zone 1 2 3 \
       --query publicIp.id \
       --output tsv)
   
   export MY_IP_PREFIX_ID=$(az network public-ip prefix create \
       --resource-group $MY_RG \
       --name $MY_IP_PREFIX \
       --location eastus2 \
       --length 31 \
       --sku StandardV2 \
       --version IPv4 \
       --zone 1 2 3 \
       --query id \
       --output tsv)
   

2. Implemente un tipo de salida de puerta de enlace NAT administrada en una región que admita standardV2 NAT Gateway y haga referencia a la dirección IP pública y el prefijo en la configuración del clúster de AKS.

   {
     "properties": {
       "networkProfile": {
         "outboundType": "managedNATGateway",
         "natGatewayProfile": {
           "outboundIPs": {
             "publicIPs": [
               "<standard-v2-public-ip-resource-id>"
             ]
           },
           "outboundIPPrefixes": {
             "publicIPPrefixes": [
               "<standard-v2-public-ip-prefix-resource-id>"
             ]
           }
         }
       }
     }
   }
   

El modelo de propiedad IP de salida se determina cuando se crea inicialmente la puerta de enlace NAT de StandardV2. Puede cambiar los recursos de IP salientes individuales dentro del modelo seleccionado, pero no puede cambiar una puerta de enlace NAT existente entre las IP salientes administradas por Azure y las definidas por el cliente. Tampoco puede cambiar la SKU de puerta de enlace NAT. No se admite la degradación de StandardV2 a Standard.

Creación de un clúster de AKS con userAssignedNatGateway

Esta configuración requiere traer una red propia (a través de Azure CNI) y que la puerta de enlace NAT esté preconfigurada en la subred. Se soportan tanto las pasarelas NAT Standard como StandardV2 para esto outbound-type. Los comandos siguientes crean los recursos necesarios para implementar un recurso de puerta de enlace NAT standardV2 para el clúster de AKS.

1. Cree un grupo de recursos con el comando az group create.

   # Set environment variables for resource group, AKS cluster, public IP, and public IP prefix names
   export RANDOM_SUFFIX=$(openssl rand -hex 3)
   export MY_RG="myResourceGroup$RANDOM_SUFFIX"
   
   # Create the resource group
   az group create --name $MY_RG --location southcentralus
   

2. Cree una identidad administrada para los permisos de red y almacene el identificador en $IDENTITY_ID para su uso posterior.

   export IDENTITY_NAME="myNatClusterId$RANDOM_SUFFIX"
   export IDENTITY_ID=$(az identity create \
       --resource-group $MY_RG \
       --name $IDENTITY_NAME \
       --location southcentralus \
       --query id \
       --output tsv)
   

   Ejemplo de resultado:

   /xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroupxxx/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myNatClusterIdxxx
   

3. Cree una dirección IP pública standardV2 para la puerta de enlace NAT mediante el az network public-ip create comando . Una puerta de enlace NAT standardV2 requiere una dirección IP pública standardV2.

   export PIP_NAME="myNatGatewayPip$RANDOM_SUFFIX"
   az network public-ip create \
       --resource-group $MY_RG \
       --name $PIP_NAME \
       --location southcentralus \
       --allocation-method Static \
       --version IPv4 \
       --zone 1 2 3 \
       --sku standard-v2
   

4. Cree la puerta de enlace NAT de StandardV2 mediante el az network nat gateway create comando .

   export NATGATEWAY_NAME="myNatGateway$RANDOM_SUFFIX"
   az network nat gateway create \
       --resource-group $MY_RG \
       --name $NATGATEWAY_NAME \
       --location southcentralus \
       --public-ip-addresses $PIP_NAME \
       --sku StandardV2
       --idle-timeout 4
   

   Importante

   Para garantizar la redundancia de zona, implemente un recurso de puerta de enlace NAT standardV2, que abarca varias zonas de disponibilidad de una región. Esta configuración garantiza una conectividad saliente continua incluso si se produce un error en una sola zona. Para más información sobre la puerta de enlace NAT de StandardV2 y sus ventajas, consulte StandardV2 NAT Gateway. En comparación, un recurso de puerta de enlace NAT estándar proporciona resistencia solo dentro de la zona de disponibilidad en la que se implementa.

5. Cree una red virtual mediante el comando az network vnet create.

   export VNET_NAME="myVnet$RANDOM_SUFFIX"
   az network vnet create \
       --resource-group $MY_RG \
       --name $VNET_NAME \
       --location southcentralus \
       --address-prefixes 172.16.0.0/20 
   

6. Cree una subred en la red virtual mediante la instancia de NAT Gateway y almacene el identificador en $SUBNET_ID para su uso posterior.

   export SUBNET_NAME="myNatCluster$RANDOM_SUFFIX"
   export SUBNET_ID=$(az network vnet subnet create \
       --resource-group $MY_RG \
       --vnet-name $VNET_NAME \
       --name $SUBNET_NAME \
       --address-prefixes 172.16.0.0/22 \
       --nat-gateway $NATGATEWAY_NAME \
       --query id \
       --output tsv)
   

7. Cree un clúster de AKS mediante la subred con la puerta de enlace NAT y la identidad administrada mediante el comando az aks create.

   export AKS_NAME="myNatCluster$RANDOM_SUFFIX"
   az aks create \
       --resource-group $MY_RG \
       --name $AKS_NAME \
       --location southcentralus \
       --network-plugin azure \
       --vnet-subnet-id $SUBNET_ID \
       --outbound-type userAssignedNATGateway \
       --assign-identity $IDENTITY_ID \
       --generate-ssh-keys
   

Consideraciones de producción

Al usar la puerta de enlace NAT administrada en producción, planee el comportamiento del tráfico saliente, el acceso al servidor de API y la resistencia de la carga de trabajo.

• Utilice AKS Automático cuando desee la configuración predeterminada recomendada y lista para producción para la mayoría de las cargas de trabajo de AKS.
• Use la puerta de enlace NAT administrada en AKS Estándar cuando quiera conectividad de salida administrada por AKS sin traer su propia puerta de enlace NAT.
• Use un clúster privado o una integración con red virtual del servidor de API cuando desee reducir la exposición del tráfico del servidor de API.
• Revise los requisitos de IP de salida antes de iniciarse.
• Si las cargas de trabajo dependen de direcciones de salida fijas, valide que la puerta de enlace NAT administrada cumple esos requisitos antes de la implementación.
• Si necesita administrar NAT independientemente de AKS, use una puerta de enlace NAT asignada por el usuario.

Deshabilitar OutboundNAT para Windows

Windows OutboundNAT puede causar ciertos problemas de conexión y comunicación con los pods de AKS. Un problema de ejemplo es la reutilización del puerto de nodo. En este ejemplo, Windows OutboundNAT usa puertos para traducir la dirección IP del pod a la dirección IP del host del nodo de Windows, lo que puede provocar una conexión inestable al servicio externo debido a un problema de agotamiento de puertos.

Windows habilita OutboundNAT de forma predeterminada. Ahora puede deshabilitar manualmente OutboundNAT al crear nuevos grupos de agentes de Windows.

Requisitos previos y limitaciones

• Necesita un clúster de AKS existente con v1.26 o posterior. Si usa la versión 1.25 o anterior de Kubernetes, actualice la configuración de implementación.
• No se puede establecer el tipo de salida del clúster en LoadBalancer. Puede establecerlo en NAT Gateway o UDR:
  • NAT Gateway: NAT Gateway controla automáticamente las conexiones NAT y es más eficaz que Standard Load Balancer. Puede incurrir en cargos adicionales mediante esta opción.
  • UDR (UserDefinedRouting):debe tener en cuenta las limitaciones de puerto al configurar reglas de enrutamiento.
  • Para cambiar de un equilibrador de carga a NAT Gateway, puede agregar una puerta de enlace NAT a la red virtual o ejecutar az aks upgrade para actualizar el tipo de salida.

Deshabilitar manualmente OutboundNAT para Windows

• Deshabilite manualmente OutboundNAT para Windows al crear nuevos grupos de agentes de Windows mediante el comando az aks nodepool add con la marca --disable-windows-outbound-nat.

  Nota

  Puede usar un clúster de AKS existente, pero es posible que tenga que actualizar el tipo de salida y agregar un grupo de nodos para habilitar --disable-windows-outbound-nat.

  export WIN_NODEPOOL_NAME="win$(head -c 1 /dev/urandom | xxd -p)"
  az aks nodepool add \
      --resource-group $MY_RG \
      --cluster-name $MY_AKS \
      --name $WIN_NODEPOOL_NAME \
      --node-count 3 \
      --os-type Windows \
      --disable-windows-outbound-nat
  

  Ejemplo de resultado:

  {
    "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroupxxx/providers/Microsoft.ContainerService/managedClusters/myNatClusterxxx/agentPools/mynpxxx",
    "name": "mynpxxx",
    "osType": "Windows",
    "provisioningState": "Succeeded",
    "resourceGroup": "myResourceGroupxxx",
    "type": "Microsoft.ContainerService/managedClusters/agentPools"
  }
  

Contenido relacionado

Para obtener más información sobre Azure NAT Gateway y AKS Automatic, consulte los siguientes artículos:

• Azure NAT Gateway
• ¿Qué es AKS Automatic?
• Creación de un clúster automático de AKS