Dostosowywanie wychodzącego ruchu klastra za pomocą typów ruchu zewnętrznego w usłudze Azure Kubernetes Service (AKS)

Domyślnie usługa AKS używa usługa Load Balancer w warstwie Standardowa dla ruchu wychodzącego. Tę konfigurację można dostosować w scenariuszach, które uniemożliwiają publiczne adresy IP lub wymagają dodatkowych przeskoków ruchu wychodzącego.

W tym artykule opisano typy połączeń wychodzących dostępne dla klastrów usługi AKS.

Ograniczenia

• Ustawienie outboundType wymaga klastrów AKS z wartością vm-set-typeVirtualMachineScaleSets oraz load-balancer-skuStandard.

Typy ruchu wychodzącego w usłudze AKS

Klaster usługi AKS można skonfigurować przy użyciu następujących typów ruchu wychodzącego: moduł równoważenia obciążenia, brama translatora adresów sieciowych, trasy zdefiniowane przez użytkownika, nonelub block. Typ ruchu wychodzącego wpływa tylko na ruch wychodzący klastra. Aby uzyskać więcej informacji, zobacz pojęcia dotyczące sieci ruchu przychodzącego.

Typ ruchu wychodzącego: Load Balancer

Moduł równoważenia obciążenia jest używany do ruchu wychodzącego za pośrednictwem publicznego adresu IP przypisanego przez usługę AKS. Typ ruchu wychodzącego loadBalancer obsługuje usługi Kubernetes typu loadBalancer, które wymagają ruchu wychodzącego z modułu równoważenia obciążenia utworzonego przez dostawcę zasobów AKS.

Jeśli loadBalancer jest ustawiony, usługa AKS automatycznie ukończy następującą konfigurację:

• Publiczny adres IP jest tworzony dla ruchu wychodzącego z klastra.
• Publiczny adres IP jest przypisywany do zasobu modułu równoważenia obciążenia.
• Pule backendowe dla równoważnika obciążenia są konfigurowane dla węzłów agenta w klastrze.

Aby uzyskać więcej informacji, zobacz używanie standardowego mechanizmu równoważenia obciążenia w ramach usługi AKS.

Typ ruchu wychodzącego: brama NAT

Po wybraniu managedNATGatewayV2 opcji (wersja zapoznawcza) managedNATGatewaylub userAssignedNATGateway w outboundTypeprzypadku usługi AKS Azure NAT Gateway dla ruchu wychodzącego klastra.

• Wybierz managedNATGatewayV2 lub managedNATGateway dla sieci wirtualnych zarządzanych przez usługę AKS. Usługa AKS aprowizuje i dołącza bramę translatora adresów sieciowych w warstwie Standardowa 2 dla managedNATGatewayV2 bramy translatora adresów sieciowych w warstwie Standardowa dla usługi managedNATGateway. Zalecana jest brama translatora adresów sieciowych w warstwie StandardowaV2, ponieważ jest domyślnie strefowo nadmiarowa i oferuje większą przepustowość i przepływność. Aby uzyskać więcej informacji, zobacz Brama translatora adresów sieciowych w warstwie StandardowaV2.
• Wybierz userAssignedNATGateway pozycję bring-your-own virtual networks(Przynieś własne sieci wirtualne). Przed utworzeniem klastra utwórz bramę translatora adresów sieciowych. Obsługiwane są jednostki SKU bramy translatora adresów sieciowych w warstwie Standardowa i StandardowaV2.

Aby uzyskać więcej informacji, zobacz używanie bramy NAT z AKS.

Typ ruchu wychodzącego: trasy zdefiniowane przez użytkownika.

W przypadku ustawienia userDefinedRoutingusługa AKS nie konfiguruje automatycznie ścieżek ruchu wychodzącego. Należy skonfigurować ścieżkę ruchu wychodzącego.

Klaster usługi AKS należy wdrożyć w istniejącej sieci wirtualnej przy użyciu skonfigurowanej podsieci. Ponieważ nie używasz architektury usługa Load Balancer w warstwie Standardowa, musisz ustanowić jawny ruch wychodzący. Skonfiguruj tabelę tras z trasą 0.0.0.0/0 wskazującą bramę lub wirtualne urządzenie sieciowe i skojarz tabelę tras z podsiecią klastra.

Aby uzyskać więcej informacji, zobacz konfigurowanie ruchu wychodzącego klastra za pomocą routingu zdefiniowanego przez użytkownika.

Typ ruchu wychodzącego: brak

W przypadku ustawienia noneusługa AKS nie konfiguruje automatycznie ścieżek ruchu wychodzącego. Ta opcja jest podobna do userDefinedRouting tej, ale nie wymaga trasy domyślnej w ramach walidacji.

Typ none ruchu wychodzącego obsługuje zarówno własne sieci wirtualne byO, jak i AKS. W przypadku sieci wirtualnej BYO wdróż klaster w istniejącej sieci wirtualnej ze skonfigurowaną podsiecią. Usługa AKS nie tworzy usługa Load Balancer w warstwie Standardowa ani innej infrastruktury ruchu wychodzącego, dlatego konfiguruje dowolną wymaganą ścieżkę ruchu wychodzącego przez zaporę, serwer proxy, bramę lub inny niestandardowy składnik sieci.

Typ ruchu wychodzącego: blok (wersja podglądowa)

W przypadku ustawienia blockusługa AKS konfiguruje reguły sieciowe w celu blokowania ruchu wychodzącego z klastra. Ta opcja jest przydatna w przypadku środowisk o wysokim poziomie bezpieczeństwa, w których łączność wychodząca musi być ograniczona.

Podczas korzystania z block:

• Usługa AKS zapewnia, że żaden ruch z publicznego internetu nie może opuścić klastra poprzez reguły grup zabezpieczeń sieci (NSG). Nie ma to wpływu na ruch w sieci wirtualnej.
• Należy jawnie zezwolić na każdy wymagany ruch wychodzący poprzez dodatkowe konfiguracje sieci.

Opcja block zapewnia izolację sieci, ale wymaga starannego planowania, aby uniknąć zakłócania obciążeń lub zależności.

Aktualizowanie outboundType po utworzeniu klastra

Zmiana typu ruchu wychodzącego po utworzeniu klastra powoduje wdrażanie lub usuwanie zasobów zgodnie z wymaganiami, aby wprowadzić klaster w nową konfigurację ruchu wychodzącego.

W poniższych tabelach przedstawiono obsługiwane ścieżki migracji między typami ruchu wychodzącego dla zarządzanych i BYO sieci wirtualnych. Każdy wiersz pokazuje, czy typ wychodzący można migrować do typów wymienionych u góry. "Obsługiwane" oznacza, że migracja jest możliwa, natomiast "Nieobsługiwane" lub "N/A" oznacza, że nie jest.

Obsługiwane ścieżki migracji dla zarządzanej sieci wirtualnej

W poniższej tabeli wymieniono obsługiwane ścieżki migracji typu wychodzącego dla klastrów usługi AKS korzystających z sieci wirtualnych zarządzanych przez usługę AKS.

Obsługiwane ścieżki migracji dla sieci wirtualnej BYO

W poniższej tabeli wymieniono obsługiwane ścieżki migracji typu wychodzącego dla klastrów usługi AKS korzystających z sieci wirtualnych BYO.

Aktualizowanie typu wychodzącego klastra przy użyciu Azure CLI

Zaktualizuj konfigurację swojego klastra przy użyciu polecenia az aks update.

Aktualizowanie klastra z loadBalancer do managedNATGatewayV2

Następujące polecenie aktualizuje klaster do używania zarządzanej bramy translatora adresów sieciowych w warstwie StandardowaV2 i przypisuje określoną liczbę zarządzanych wychodzących adresów IPv6.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGatewayV2 --nat-gateway-managed-outbound-ipv6-count <number of managed outbound ipv6>

Aktualizowanie klastra z managedNATGateway do loadBalancer

Następujące polecenie aktualizuje klaster, aby używał modułu równoważenia obciążenia dla ruchu wychodzącego. Wybierz jedną opcję wychodzącego adresu IP: --load-balancer-managed-outbound-ip-count w przypadku publicznych adresów IP zarządzanych przez usługę AKS, --load-balancer-outbound-ips istniejących identyfikatorów zasobów publicznego adresu IP lub --load-balancer-outbound-ip-prefixes istniejących identyfikatorów zasobów prefiksu publicznego adresu IP.

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
< --load-balancer-managed-outbound-ip-count <number of managed outbound ip> | --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

Aktualizowanie klastra z managedNATGateway do userDefinedRouting

Przed uruchomieniem polecenia aktualizacji dodaj 0.0.0.0/0 trasę do tabeli tras skojarzonej z podsiecią klastra i ustaw następny przeskok do bramy lub wirtualnego urządzenia sieciowego. Aby uzyskać pełne kroki konfiguracji, zobacz Dostosowywanie ruchu wychodzącego klastra przy użyciu tabeli routingu zdefiniowanej przez użytkownika w Azure Kubernetes Service (AKS).

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

Aktualizowanie klastra z loadBalancer do userAssignedNATGateway w scenariuszu sieci wirtualnej BYO

Przed uruchomieniem polecenia aktualizacji skojarz istniejącą bramę translatora adresów sieciowych z podsiecią klastra. Aby uzyskać pełne kroki konfiguracji, zobacz Tworzenie zarządzanej lub przypisanej przez użytkownika bramy translatora adresów sieciowych.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Treści powiązane

• Konfigurowanie standardowego równoważenia obciążenia w klastrze AKS
• Skonfiguruj bramę NAT w klastrze AKS
• Konfigurowanie routingu zdefiniowanego przez użytkownika w klastrze usługi AKS
• Omówienie tras zdefiniowanych przez użytkownika w sieci Azure
• Zarządzanie tabelami tras