Personalizzare l'uscita del cluster con tipi in uscita nel servizio Azure Kubernetes

Per impostazione predefinita, AKS usa un'istanza di Load Balancer Standard per il traffico in uscita. È possibile personalizzare questa configurazione per scenari che vietano l'uso di indirizzi IP pubblici o richiedono hop in uscita aggiuntivi.

Questo articolo descrive i tipi di connettività in uscita disponibili per i cluster del servizio Azure Kubernetes.

Limitazioni

• Per impostare outboundType, sono necessari cluster del servizio Azure Kubernetes con vm-set-type impostato su VirtualMachineScaleSets e load-balancer-sku impostato su Standard.

Tipi in uscita nel servizio Azure Kubernetes

È possibile configurare un cluster del servizio Azure Kubernetes usando i tipi in uscita seguenti: bilanciamento del carico, gateway NAT, route definite dall'utente, noneo block. Il tipo in uscita influisce solo sul traffico in uscita del cluster. Per altre informazioni, vedere concetti relativi alla rete in ingresso.

Tipo in uscita: Bilanciamento del carico

Il bilanciamento del carico viene usato per l'uscita tramite un indirizzo IP pubblico assegnato dal servizio Azure Kubernetes. Il tipo in uscita loadBalancer supporta i servizi Kubernetes di tipo loadBalancer, che prevedono l'uscita dal bilanciamento del carico creato dal provider di risorse del servizio Azure Kubernetes.

Se loadBalancer è impostato, il servizio Azure Kubernetes completa automaticamente la configurazione seguente:

• Viene creato un indirizzo IP pubblico per l'uscita del cluster.
• L'indirizzo IP pubblico viene assegnato alla risorsa del bilanciamento del carico.
• Per i nodi agente nel cluster vengono impostati pool back-end per il bilanciamento del carico.

Per ulteriori informazioni, vedi Usare un bilanciamento del carico standard nel servizio Azure Kubernetes.

Tipo di uscita: Gateway NAT

Quando si seleziona managedNATGateway o userAssignedNATGateway per outboundType, AKS usa Gateway NAT di Azure per l'uscita del cluster.

• Selezionare managedNATGateway per reti virtuali gestite da AKS. A partire dalla versione 2026-06-01dell'API , il servizio Azure Kubernetes usa StandardV2 per impostazione predefinita nelle aree in cui è disponibile e in caso contrario usa Standard.
• Selezionare userAssignedNATGateway per le reti virtuali personalizzate. Creare un gateway NAT prima di creare il cluster. Sono supportati sia gli SKU del gateway NAT Standard che StandardV2.

Il gateway NAT StandardV2 è consigliato perché è ridondante a livello di zona per impostazione predefinita e offre una maggiore larghezza di banda e velocità effettiva. Per altre informazioni, vedere Gateway NAT StandardV2.

Per altre informazioni, vedere Uso del gateway NAT con AKS.

Tipo in uscita: routes definite dall'utente

Se si imposta userDefinedRouting, AKS non configura automaticamente i percorsi in uscita. Si configura il percorso di uscita.

È necessario distribuire il cluster AKS in una rete virtuale esistente con una subnet che configuri. Poiché non si usa un'architettura Load Balancer Standard, è necessario configurare in modo esplicito il traffico in uscita. Configurare una tabella di route con una 0.0.0.0/0 route che punta a un gateway o a un'appliance virtuale di rete e associare la tabella di route alla subnet del cluster.

Per altre informazioni, vedere Configurazione dell'uscita del cluster tramite il routing definito dall'utente.

Tipo in uscita: nessuno

Se si imposta none, AKS non configura automaticamente i percorsi in uscita. Questa opzione è simile a userDefinedRouting ma non richiede una route predefinita come parte della convalida.

Il none tipo in uscita supporta sia le reti virtuali BYO (Bring Your Own) che le reti virtuali gestite da AKS. Per una rete virtuale BYO, distribuire il cluster in una rete virtuale esistente con una subnet configurata. AKS non crea un Load Balancer Standard o un'altra infrastruttura di uscita, quindi configura qualsiasi percorso di uscita necessario tramite un firewall, un proxy, un gateway o un altro componente di rete personalizzato.

Tipo in uscita: blocco (Anteprima)

Se si imposta block, il servizio Azure Kubernetes configura le regole di rete per bloccare il traffico in uscita dal cluster. Questa opzione è utile per ambienti altamente sicuri in cui la connettività in uscita deve essere limitata.

Quando si usa block:

• Il servizio Azure Kubernetes garantisce che nessun traffico Internet pubblico possa lasciare il cluster tramite regole del gruppo di sicurezza di rete. Il traffico della rete virtuale non è interessato.
• È necessario consentire in modo esplicito qualsiasi traffico in uscita necessario tramite configurazioni di rete aggiuntive.

L'opzione block fornisce l'isolamento della rete, ma richiede un'attenta pianificazione per evitare di interrompere carichi di lavoro o dipendenze.

Aggiornare outboundType dopo la creazione del cluster

La modifica del tipo in uscita dopo la creazione del cluster distribuisce o rimuove le risorse come richiesto per inserire il cluster nella nuova configurazione in uscita.

Le tabelle seguenti mostrano i percorsi di migrazione supportati tra i tipi in uscita per le reti virtuali gestite e BYO. Ogni riga indica se è possibile eseguire la migrazione del tipo in uscita ai tipi elencati nella parte superiore. "Supportato" indica che la migrazione è possibile, mentre "Non supportato" o "N/A" significa che non lo è.

Percorsi di migrazione supportati per la rete virtuale gestita

La tabella seguente elenca i percorsi di migrazione dei tipi in uscita supportati per i cluster AKS che usano reti virtuali gestite da AKS.

Comportamento dello SKU del gateway NAT gestito

La tabella seguente descrive il comportamento dello SKU del gateway NAT gestito con la versione 2026-06-01 dell'API e versioni successive.

Percorsi di migrazione supportati per la rete virtuale BYO

La tabella seguente elenca i percorsi di migrazione supportati per il tipo di traffico in uscita per i cluster AKS che usano reti virtuali personalizzate.

Aggiornare il tipo in uscita del cluster con interfaccia della riga di comando di Azure

Aggiorna la configurazione in uscita del tuo cluster usando il comando az aks update.

Aggiornare il cluster da loadBalancer a managedNATGateway con StandardV2

Quando si usa la versione 2026-06-01 dell'API o versioni successive e si lavora in un'area con disponibilità del gateway NAT StandardV2, lo SKU è impostato su StandardV2 per impostazione predefinita per il tipo managedNATGateway in uscita.

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway"
      }
    }
  }
}

Aggiornare il cluster da loadBalancer a userAssignedNATGateway in uno scenario di rete virtuale BYO

Prima di eseguire il comando di aggiornamento, associare un gateway NAT esistente alla subnet del cluster. Per i passaggi di configurazione completi, vedere Creare un gateway NAT gestito o assegnato dall'utente.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Contenuti correlati

• Configurare il bilanciamento del carico standard in un cluster AKS
• Configurare il gateway NAT in un cluster del servizio Azure Kubernetes
• Configurare il routing definito dall'utente in un cluster AKS
• Panoramica UDR di Rete di Azure
• Gestire le tabelle di instradamento