Personnaliser la sortie de cluster avec des types sortants dans Azure Kubernetes Service (AKS)

Par défaut, AKS utilise un Standard Load Balancer pour le trafic sortant. Vous pouvez personnaliser cette configuration pour les scénarios qui interdisent les adresses IP publiques ou nécessitent des tronçons de sortie supplémentaires.

Cet article décrit les types de connectivité sortantes disponibles pour les clusters AKS.

Limites

• La définition de outboundType nécessite des clusters AKS avec un vm-set-typeVirtualMachineScaleSets et une load-balancer-skuStandard.

Types sortants dans AKS

Vous pouvez configurer un cluster AKS à l’aide des types sortants suivants : équilibreur de charge, passerelle NAT, itinéraires définis par l’utilisateur, none, ou block. Le type sortant affecte uniquement le trafic de sortie de votre cluster. Pour plus d’informations, consultez Concepts relatifs au réseau d’entrée.

Type sortant : Équilibrageur de charge

L’équilibreur de charge est utilisé pour la sortie via une adresse IP publique affectée à AKS. Un type de sortie loadBalancer prend en charge les services Kubernetes de type loadBalancer, qui attendent une sortie de l’équilibreur de charge créé par le fournisseur de ressources AKS.

Si loadBalancer est défini, AKS effectue automatiquement la configuration suivante :

• Une adresse IP publique est créée pour la sortie du cluster.
• L’adresse IP publique est affectée à la ressource d’équilibreur de charge.
• Les pools de back-end pour l’équilibreur de charge sont configurés pour les nœuds d’agent dans le cluster.

Pour plus d’informations, consultez Utiliser un équilibreur de charge standard dans AKS.

Type de trafic sortant : passerelle NAT

Lorsque vous sélectionnez managedNATGateway ou userAssignedNATGateway pouroutboundType, AKS utilise Azure NAT Gateway pour la sortie du cluster.

• Sélectionnez managedNATGateway pour les réseaux virtuels gérés par AKS. À compter de la version 2026-06-01 de l’API, AKS utilise par défaut StandardV2 dans les régions où il est disponible et utilise sinon Standard.
• Sélectionnez userAssignedNATGateway pour les réseaux virtuels BYO. Créez une passerelle NAT avant de créer le cluster. Les références SKU de passerelle NAT Standard et StandardV2 sont prises en charge.

La passerelle NAT StandardV2 est recommandée, car elle est redondante interzone par défaut et offre une bande passante et un débit plus élevés. Pour plus d’informations, consultez StandardV2 NAT Gateway.

Pour plus d’informations, consultez Utiliser une passerelle NAT avec AKS.

Type sortant : itinéraires Définis par l'utilisateur

Si vous configurez userDefinedRouting, AKS ne configure pas automatiquement les chemins de sortie. Vous configurez le chemin de sortie.

Vous devez déployer le cluster AKS dans un réseau virtuel existant avec un sous-réseau que vous configurez. Étant donné que vous n'utilisez pas d'architecture Standard Load Balancer, vous devez établir un trafic sortant explicite. Configurez une table de route avec une route 0.0.0.0/0 qui pointe vers une passerelle ou une appliance virtuelle de réseau, et associez la table de route au sous-réseau du cluster.

Pour plus d’informations, consultez Configurer la sortie du cluster via le routage défini par l’utilisateur.

Type sortant : aucun

Si vous configurez none, AKS ne configure pas automatiquement les chemins de sortie. Cette option est similaire à userDefinedRouting, mais elle ne nécessite pas de route par défaut dans le cadre de la validation.

Le type de trafic sortant none prend en charge les réseaux virtuels BYO et gérés par AKS. Pour un réseau virtuel BYO, déployez le cluster dans un réseau virtuel existant avec un sous-réseau configuré. AKS ne crée pas de Standard Load Balancer ou d'autre infrastructure de sortie. Configurez donc tout chemin de sortie requis par le biais d'un pare-feu, d'un proxy, d'une passerelle ou d'un autre composant réseau personnalisé.

Type de sortie : block (préversion)

Si vous définissez block, AKS configure les règles réseau pour bloquer le trafic de sortie du cluster. Cette option est utile pour les environnements hautement sécurisés où la connectivité sortante doit être restreinte.

Lorsque vous utilisez block :

• AKS garantit qu’aucun trafic Internet public ne peut laisser le cluster via des règles de groupe de sécurité réseau (NSG). Le trafic de réseau virtuel n’est pas affecté.
• Vous devez autoriser explicitement tout trafic de sortie requis via des configurations réseau supplémentaires.

L’option block fournit une isolation réseau, mais nécessite une planification minutieuse pour éviter de perturber les charges de travail ou les dépendances.

Mettre à jour outboundType après la création du cluster

La modification du type de trafic sortant après la création du cluster déploie ou supprime des ressources si nécessaire pour placer le cluster dans la nouvelle configuration de sortie.

Les tableaux suivants indiquent les chemins de migration pris en charge entre les types sortants pour les réseaux virtuels managés et BYO. Chaque ligne indique si le type sortant peut être migré vers les types répertoriés en haut. « Pris en charge » signifie que la migration est possible, alors que « Non pris en charge » ou « N/A » signifie qu’elle ne l’est pas.

Chemins de migration pris en charge pour le réseau virtuel managé

Le tableau suivant répertorie les chemins de migration de type sortant pris en charge pour les clusters AKS qui utilisent des réseaux virtuels gérés par AKS.

Comportement de la référence SKU de passerelle NAT managée

Le tableau suivant décrit le comportement de la référence SKU de passerelle NAT managée avec la version 2026-06-01 de l’API et les versions ultérieures.

Chemins de migration pris en charge pour le réseau virtuel BYO

Le tableau suivant répertorie les chemins de migration de type sortant pris en charge pour les clusters AKS qui utilisent des réseaux virtuels personnalisés (BYO).

Mettre à jour le type de trafic sortant du cluster avec Azure CLI

Mettez à jour la configuration sortante de votre cluster à l’aide de la commande az aks update.

Mettre à jour le cluster de loadBalancer vers managedNATGateway avec StandardV2

Lorsque vous utilisez la version de l’API 2026-06-01 ou ultérieure et que vous travaillez dans une région avec la disponibilité de la passerelle NAT Gateway StandardV2, la référence SKU est définie par défaut StandardV2 pour le type managedNATGateway sortant.

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway"
      }
    }
  }
}

Mettre à jour le cluster de loadBalancer à userAssignedNATGateway dans le contexte de réseau virtuel BYO

Avant d’exécuter la commande de mise à jour, associez une passerelle NAT existante au sous-réseau du cluster. Pour connaître les étapes de configuration complètes, consultez Créer une passerelle NAT Gateway managée ou attribuée par l’utilisateur.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Contenu connexe

• Configurer l’équilibrage de charge standard dans un cluster AKS
• Configurer la passerelle NAT dans un cluster AKS
• Configurer le routage défini par l’utilisateur dans un cluster AKS
• Vue d’ensemble de la mise en réseau UDR d'Azure
• Gérer les tables de routage