Regels voor uitgaand verkeer Azure Load Balancer

Outbound regels stellen je in staat om expliciet source network address translation (SNAT) te definiëren voor een openbare Standard Load Balancer. Met deze configuratie kunt u de openbare IP-adressen van uw load balancer gebruiken om uitgaande internetverbinding te bieden voor uw back-endinstanties.

Deze configuratie maakt het volgende mogelijk:

• IP-maskering
• Het vereenvoudigen van uw acceptatielijsten.
• Vermindert het aantal openbare IP-resources voor implementatie.

Met regels voor uitgaand verkeer hebt u volledige declaratieve controle over uitgaande internetconnectiviteit. Met uitgaande regels kunt u deze mogelijkheid schalen en afstemmen op uw specifieke behoeften.

Uitgaande regels zijn alleen van toepassing wanneer de backend virtuele machine (VM) geen openbaar IP-adres op instance-niveau heeft.

Met uitgaande regels kunt u expliciet uitgaand SNAT-gedrag definiëren.

Met uitgaande regels kunt u het volgende controleren:

• Welke virtuele machines worden vertaald naar welke openbare IP-adressen.
  • Twee regels waarbij back-endpool 1 zowel blauwe IP-adressen gebruikt als back-endpool 2 het gele IP-voorvoegsel gebruikt.
• Hoe uitgaande SNAT-poorten worden toegewezen.
  • Als back-endpool 2 de enige pool is die uitgaande verbindingen maakt, geeft u alle SNAT-poorten aan back-endpool 2 en geen aan back-endpool 1.
• Voor welke protocollen uitgaande vertaling moet worden geboden.
  • Als back-endpool 2 UDP-poorten nodig heeft voor uitgaand verkeer en back-endpool 1 TCP nodig heeft, geeft u TCP-poorten aan 1 en UDP-poorten op 2.
• Welke duur moet worden gebruikt voor time-out voor inactiviteit voor uitgaande verbindingen (4-120 minuten).
  • Als er langdurige verbindingen zijn met keepalives, reserveert u niet-actieve poorten voor langdurige verbindingen tot maximaal 120 minuten. Ga ervan uit dat verlopen verbindingen als opgegeven worden beschouwd en dat poorten binnen 4 minuten worden vrijgegeven voor nieuwe verbindingen.
• Of een TCP-reset moet worden verzonden bij time-out voor inactiviteit.
  • Wanneer er een time-out optreedt voor niet-actieve verbindingen, verzenden we een TCP RST naar de client en server zodat ze weten dat de stroom wordt afgelaten?

Definiëring van uitgaanderegel

Uitgaande regels volgen dezelfde vertrouwde syntaxis als loadbalancing en binnenkomende NAT-regels: front-end + parameters + backend-pool.

Met een uitgaande regel configureert u uitgaande NAT voor alle virtuele machines die worden geïdentificeerd door de back-endpool die moeten worden vertaald naar de front-end.

De parameters bieden nauwkeurige controle over het uitgaande NAT-algoritme.

Schaal uitgaande NAT met meerdere IP-adressen

Elk extra IP-adres dat door een front-end wordt geleverd, biedt nog eens 64.000 tijdelijke poorten voor load balancer die als SNAT-poorten kunnen worden gebruikt. Load balancer maakt indien nodig gebruik van IP-adressen op basis van de beschikbare poorten. De load balancer gebruikt het volgende IP-adres zodra de verbindingen niet meer kunnen worden gemaakt met het huidige IP-adres dat wordt gebruikt.

Gebruik meerdere IP-adressen om grootschalige scenario's te plannen. Gebruik uitgaande regels om SNAT-uitputting te beperken, zoals beschreven in Ondersteuning en probleemoplossing voor Azure Load Balancer.

U kunt ook rechtstreeks een openbaar IP-voorvoegsel gebruiken met een uitgaande regel.

Een openbaar IP-voorvoegsel verhoogt de schaal van uw implementatie. Het voorvoegsel kan worden toegevoegd aan de acceptatielijst met stromen die afkomstig zijn van uw Azure resources. U kunt een front-end-IP-configuratie configureren binnen de load balancer om te verwijzen naar een voorvoegsel voor een openbaar IP-adres.

De load balancer heeft controle over het openbare IP-voorvoegsel. De uitgaande regel gebruikt automatisch andere openbare IP-adressen in het openbare IP-voorvoegsel nadat er geen uitgaande verbindingen meer kunnen worden gemaakt met het huidige IP-adres dat vanaf het voorvoegsel wordt gebruikt.

Elk van de IP-adressen binnen het openbare IP-voorvoegsel biedt extra 64.000 tijdelijke poorten per IP-adres voor load balancer die als SNAT-poorten kunnen worden gebruikt.

Time-out voor inactiviteit van uitgaande stroom en TCP opnieuw instellen

Uitgaande regels bieden een configuratieparameter om de time-out voor inactiviteit van het uitgaande verkeer te beheren en deze aan te passen aan de behoeften van uw toepassing. Time-outs voor inactiviteit voor uitgaand verkeer zijn standaard ingesteld op 4 minuten. Zie Time-outs voor inactiviteit configureren voor meer informatie.

Het standaardgedrag van load balancer is om de stroom op de achtergrond te verwijderen wanneer de time-out voor inactiviteit voor uitgaand verkeer is bereikt. De enableTCPReset parameter maakt voorspelbaar toepassingsgedrag en -beheer mogelijk. De parameter bepaalt of een bidirectionele TCP Reset (TCP RST) moet worden verzonden bij het verstrijken van de uitgaande inactiviteitstime-out.

Controleer TCP Reset bij time-out van inactiviteit voor details, inclusief beschikbaarheid in regio's.

Uitgaande connectiviteit expliciet beveiligen en beheren

Taakverdelingsregels zorgen voor automatische configuratie van uitgaande NAT. Sommige scenario's zijn van belang of vereisen dat u het automatisch programmeren van uitgaande NAT uitschakelt door de taakverdelingsregel. Door via de regel uit te schakelen, kunt u het gedrag beheren of verfijnen.

U kunt deze parameter op twee manieren gebruiken:

1. Preventie van het binnenkomende IP-adres voor uitgaande SNAT. Schakel uitgaande SNAT uit in de taakverdelingsregel.

2. Stem de uitgaande SNAT-parameters af van een IP-adres dat tegelijkertijd wordt gebruikt voor inkomend en uitgaand verkeer. De automatische uitgaande NAT moet worden uitgeschakeld om een uitgaande regel de controle te laten overnemen. Als u de SNAT-poorttoewijzing wilt wijzigen van een adres dat ook wordt gebruikt voor inkomend verkeer, moet de disableOutboundSnat parameter worden ingesteld op true.

De bewerking voor het configureren van een uitgaande regel mislukt als u probeert een IP-adres opnieuw te definiëren dat wordt gebruikt voor binnenkomend verkeer. Schakel eerst de uitgaande NAT van de taakverdelingsregel uit.

Soms is het niet wenselijk dat een virtuele machine een uitgaande stroom maakt. Er is mogelijk een vereiste om te beheren welke bestemmingen uitgaande stromen ontvangen of welke bestemmingen beginnen met inkomende stromen. Gebruik netwerkbeveiligingsgroepen om de bestemmingen te beheren die de VIRTUELE machine bereikt. Gebruik NSG's om te beheren welke openbare bestemmingen binnenkomende stromen starten.

Wanneer u een NSG toepast op een vm met gelijke taakverdeling, moet u rekening houden met de servicetags en standaardbeveiligingsregels.

Zorg ervoor dat de VM statustestaanvragen van Azure Load Balancer kan ontvangen.

Als een NSG statustestaanvragen van de AZURE_LOADBALANCER standaardtag blokkeert, mislukt uw VM-statustest en is de VM gemarkeerd als niet beschikbaar. De load balancer stopt met het verzenden van nieuwe stromen naar die VM.

Scenario's voor uitgaande regels

• Configureer uitgaande verbindingen met een specifieke set openbare IP-adressen of voorvoegsel.
• Toewijzing van SNAT-poorten wijzigen.
• Alleen uitgaand inschakelen.
• Alleen uitgaande NAT voor VM's (geen inkomend verkeer).
• Uitgaande NAT voor interne standaard belastingsverdeler.
• Schakel beide TCP- en UDP-protocollen in voor uitgaande NAT met een openbare standaard load balancer.

Scenario 1: Uitgaande verbindingen met een specifieke set openbare IP-adressen of voorvoegsel configureren

Configureer de publieke IP-adressen die worden gebruikt voor uitgaande verbindingen

Dit scenario geldt voor backend VM's op een openbare Standard Load Balancer. Gebruik het om uitgaande verbindingen te laten ontstaan vanuit een specifieke set publieke IP-adressen of een publieke IP-prefix. Je kunt die adressen of het voorvoegsel dan toevoegen aan een toestaan- of bloklijst.

Dit openbare IP-adres of voorvoegsel kan hetzelfde zijn als dat gebruikt door een load-balancing regel.

Een ander openbaar IP-adres of voorvoegsel gebruiken dan wat wordt gebruikt door een taakverdelingsregel:

1. Maak een openbaar IP-voorvoegsel of openbaar IP-adres.
2. Een openbare standard load balancer maken
3. Maak een front-end die verwijst naar het openbare IP-voorvoegsel of het openbare IP-adres dat u wilt gebruiken.
4. Een back-endpool opnieuw gebruiken of een back-endpool maken en de VM's in een back-endpool van de openbare load balancer plaatsen
5. Configureer een uitgaande regel op de public load balancer om uitgaande NAT in te schakelen voor de VM's met gebruik van de frontend. Het wordt niet aanbevolen om een taakverdelingsregel te gebruiken voor uitgaand verkeer. Schakel uitgaande SNAT uit op de taakverdelingsregel.

Scenario 2: SNAT-poorttoewijzing wijzigen

Configureer SNAT-poorten per backend-instantie

Dit scenario geldt voor een openbare Standard Load Balancer met een outbound-regel. Gebruik het om de automatische SNAT-poorttoewijzing af te stemmen op basis van de grootte van de backend-pool, inclusief het verhogen van de toewijzing wanneer je SNAT-uitputting ervaart.

Bijvoorbeeld, een toewijzing van 10.000 poorten per VM voor zeven VM's vereist 70.000 poorten. Eén frontend IP-adres biedt slechts 64.000 poorten, dus Azure wijst de configuratie af. Voeg een ander openbaar IP-adres toe aan de frontend of verlaag de toewijzing per VM.

Voor meer informatie, zie de SNAT-poorttoewijzingstabel.

Scenario 3: Alleen uitgaand verkeer inschakelen

Bied uitgaande connectiviteit zonder inkomende regels

Dit scenario geldt voor een publieke Standard Load Balancer waarvan de backend-VM's uitgaande connectiviteit nodig hebben zonder inkomende load-balanceringsregels. Configureer de uitgaande regel zelfstandig, zonder extra regels te configureren.

Scenario 4: Alleen uitgaande NAT voor VM's (geen inkomend)

Configureer alleen egress-connectiviteit voor backend-VM's

Dit scenario geldt voor VM's die een uitgang nodig hebben vanuit een virtueel netwerk zonder inkomende connectiviteit. Azure Load Balancer outbound rules en Azure NAT Gateway zijn de beschikbare opties.

1. Maak een openbaar IP-adres of voorvoegsel.
2. Maak een openbare standaard load balancer.
3. Maak een front-end die is gekoppeld aan het openbare IP-adres of voorvoegsel dat is toegewezen voor uitgaand verkeer.
4. Maak een back-endpool voor de VM's.
5. Plaats de VMs in de back-end pool.
6. Configureer een uitgaande regel om uitgaande NAT in te schakelen.

Gebruik een voorvoegsel of een openbaar IP-adres om SNAT-poorten te schalen. Voeg de bron van uitgaande verbindingen toe aan een acceptatie- of blokkeringslijst.

Scenario 5: Uitgaande NAT voor interne standard load balancer

Bied uitgaande connectiviteit voor een interne standaard load balancer

Dit scenario geldt voor backend-VM's die een interne standaard load balancer gebruiken. Deze VM’s hebben geen uitgaande connectiviteit totdat je daar expliciet in voorziet via openbare IP-adressen op instantieniveau, Azure NAT Gateway of een configuratie van een openbare load balancer die alleen uitgaand verkeer verwerkt en die je koppelt aan de leden van de back-endpool.

Zie de configuratie van een load balancer met alleen uitgaand verkeer voor meer informatie.

Scenario 6: schakel beide TCP- en UDP-protocollen in voor uitgaande NAT met een openbare standaard load balancer

Schakel TCP en UDP in voor uitgaande NAT

Dit scenario geldt voor een openbare Standard Load Balancer. Automatische uitgaande NAT gebruikt hetzelfde transportprotocol als de taakverdelingsregel. Om zowel TCP- als UDP-uitgaande connectiviteit te bieden, configureer je een uitgaande regel die alle protocollen gebruikt.

1. Schakel uitgaande SNAT uit op de taakverdelingsregel.
2. Stel een uitgaande regel in op dezelfde load balancer.
3. Gebruik de back-endpool die al door uw VM's wordt gebruikt.
4. Geef protocol op: 'Alles' als onderdeel van de uitgaande regel.

Wanneer alleen binnenkomende NAT-regels worden gebruikt, wordt er geen uitgaande NAT opgegeven.

1. Plaats VM's in een backendpool.
2. Een of meer front-end-IP-configuraties definiëren met openbare IP-adressen of openbaar IP-voorvoegsel
3. Stel een uitgaande regel in op dezelfde load balancer.
4. Geef 'protocol' op: 'Alle' als onderdeel van de uitgaande regel

Beperkingen

• Het maximum aantal bruikbare tijdelijke poorten per front-end-IP-adres is 64.000.
• Het bereik van de configureerbare time-out voor inactiviteit voor uitgaand verkeer is 4 tot 120 minuten (240 tot 7200 seconden).
• Load balancer biedt geen ondersteuning voor ICMP voor uitgaande NAT, de enige ondersteunde protocollen zijn TCP en UDP.
• Uitgaande regels kunnen alleen worden toegepast op de primaire IPv4-configuratie van een NIC. U kunt geen uitgaande regel maken voor de secundaire IPv4-configuraties van een virtuele machine of NVA. Meerdere NIC's worden ondersteund.
• Uitgaande regels voor de secundaire IP-configuratie worden alleen ondersteund voor IPv6.
• Alle virtuele machines in een beschikbaarheidsset moeten worden toegevoegd aan de back-endpool voor uitgaande connectiviteit.
• Alle virtuele machines in een virtuele-machineschaalset moeten worden toegevoegd aan de back-endpool voor uitgaande connectiviteit.

Volgende stappen

• Meer informatie over Azure Standard Load Balancer
• Zie onze zelden gestelde vragen over Azure Load Balancer