Criar um gateway NAT gerenciado ou atribuído pelo usuário para seu cluster AKS (Serviço de Kubernetes do Azure)

Aplica-se a: ✔️ AKS Automatic ✔️ AKS Standard

Para a maioria das cargas de trabalho de produção, o AKS Automatic é a opção padrão recomendada e pronta para uso em produção no AKS. Os clusters automáticos do AKS incluem um gateway NAT gerenciado pré-configurado.

No AKS Standard, você pode criar ou configurar um gateway NAT gerenciado quando quiser conectividade de saída gerenciada pelo AKS para seu cluster. Em cenários de rede do tipo traga sua própria rede (BYO), use um gateway NAT atribuído ao usuário.

Embora você possa rotear o tráfego de saída por meio de um Azure Load Balancer, há limitações no número de fluxos de saída de tráfego que você pode ter. Gateway da NAT do Azure dá suporte a até 64.512 fluxos de tráfego UDP e TCP de saída por endereço IP com um máximo de 16 endereços IP. Dois tipos de saída dão suporte ao gateway NAT: managedNATGateway e userAssignedNATGateway.

Este artigo mostra como criar um cluster do AKS com gateway NAT gerenciado e gateway NAT atribuído ao usuário para o tráfego de saída. Ele também mostra como desabilitar o OutboundNAT para Windows.

Pré-requisitos

Os clusters automáticos do AKS incluem um gateway NAT gerenciado pré-configurado. As etapas neste artigo são principalmente para o AKS Standard e cenários de rede personalizados.

• Verifique se você está usando a versão mais recente do CLI do Azure.
• Verifique se você está usando o Kubernetes versão 1.20.x ou posterior.
• O gateway NAT gerenciado não é compatível com redes virtuais personalizadas.

Gateway NAT gerenciado no AKS

O AKS Automatic usa o gateway NAT gerenciado como parte da sua configuração padrão pré-configurada e pronta para produção. Use esta seção se você estiver trabalhando com o AKS Standard ou se precisar entender como o gateway NAT gerenciado se comporta em um cluster do AKS.

O gateway NAT gerenciado é a opção de saída gerenciada pelo AKS. O AKS cria e gerencia o gateway NAT para fornecer conectividade de saída para os nós do cluster.

Use o gateway de NAT gerenciado quando desejar:

• Conectividade de saída gerenciada pelo AKS com menos sobrecarga operacional.
• Um caminho de saída padrão amigável à produção.
• Gerenciamento de saída mais simples do que uma implantação de um gateway NAT gerenciado pelo cliente.
• Um modelo de rede AKS padrão sem usar um recurso próprio de gateway NAT.

Criar um cluster do AKS com um gateway da NAT gerenciado

Parâmetros de IP de saída

A tabela a seguir descreve cada parâmetro IP de saída e quando usá-lo:

Escolha um SKU de gateway NAT gerenciado

A partir da versão 2026-06-01 da API, managedNATGateway dá suporte às SKUs StandardV2 e Standard por meio de networkProfile.natGatewayProfile.sku. StandardV2 é o padrão para novos clusters em regiões com suporte quando a solicitação usa essa versão da API ou posterior. As solicitações que usam uma versão anterior da API mantêm o comportamento Standard existente.

O Gateway NAT StandardV2 é recomendado porque é com redundância de zona por padrão e oferece maior largura de banda e taxa de transferência. O StandardV2 requer endereços IP públicos e prefixos StandardV2. Os recursos de IP públicos de SKU Padrão existentes não são compatíveis com o Gateway NAT StandardV2. Consulte as limitações principais do Gateway NAT StandardV2 para ver a lista atual de regiões sem suporte.

O requisito de IP público StandardV2 aplica-se somente aos IPs de saída do gateway NAT. O balanceador de carga gerenciado pelo AKS que atende aos type: LoadBalancer Serviços continua sendo um balanceador de carga Standard e requer IPs públicos Padrão. Se você pré-provisionar o estoque de IPs públicos marcados, planeje ambas as SKUs: StandardV2 para saída do gateway da NAT e Standard para serviços de entrada.

Recursos da SKU de gateway NAT gerenciado

O tipo de saída managedNATGateway dá suporte a diferentes funcionalidades dependendo do valor de networkProfile.natGatewayProfile.sku.

Criar um cluster do AKS

Crie um cluster do AKS executando o az aks create comando com o --outbound-type managedNATGateway parâmetro. O AKS usa como padrão o SKU StandardV2 em regiões com suporte e SKU Standard em regiões sem suporte.

az aks create \
    --resource-group <resource-group> \
    --name <cluster-name> \
    --location <location> \
    --outbound-type managedNATGateway \
    --nat-gateway-managed-outbound-ip-count 1 \
    --generate-ssh-keys

Configurar IPs de saída para um gateway NAT StandardV2 gerenciado

Nas regiões em que StandardV2 está disponível, configure endereços de saída usando uma das abordagens a seguir. Você não pode combinar a configuração de IP de saída gerenciada pelo Azure e definida pelo cliente.

Usar IPs gerenciados por Azure

Use managedOutboundIPProfile para que o AKS aloque e gerencie os endereços IPv4 e IPv6 públicos de saída.

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway",
      "natGatewayProfile": {
          "managedOutboundIPProfile": {
          "count": 1,
          "countIPv6": 1
        }
      }
    }
  }
}

Usar IPs e prefixos definidos pelo cliente

Use outboundIPs e outboundIPPrefixes para fornecer endereços IP públicos ou prefixos pré-criados. Esses recursos devem usar o SKU StandardV2. Os endereços IP e prefixos públicos de SKU Padrão existentes não são compatíveis com um gateway NAT StandardV2.

1. Crie um endereço IP público StandardV2 com redundância de zona e um prefixo IP público.

   export MY_IP_ID=$(az network public-ip create \
       --resource-group $MY_RG \
       --name $MY_IP \
       --location eastus2 \
       --sku StandardV2 \
       --allocation-method Static \
       --version IPv4 \
       --zone 1 2 3 \
       --query publicIp.id \
       --output tsv)
   
   export MY_IP_PREFIX_ID=$(az network public-ip prefix create \
       --resource-group $MY_RG \
       --name $MY_IP_PREFIX \
       --location eastus2 \
       --length 31 \
       --sku StandardV2 \
       --version IPv4 \
       --zone 1 2 3 \
       --query id \
       --output tsv)
   

2. Implante um tipo de saída de gateway NAT gerenciado em uma região que dê suporte ao Gateway NAT StandardV2 e referencie o endereço IP público e o prefixo na configuração do cluster do AKS.

   {
     "properties": {
       "networkProfile": {
         "outboundType": "managedNATGateway",
         "natGatewayProfile": {
           "outboundIPs": {
             "publicIPs": [
               "<standard-v2-public-ip-resource-id>"
             ]
           },
           "outboundIPPrefixes": {
             "publicIPPrefixes": [
               "<standard-v2-public-ip-prefix-resource-id>"
             ]
           }
         }
       }
     }
   }
   

O modelo de propriedade de IP de saída é determinado quando o gateway NAT StandardV2 é criado inicialmente. Você pode alterar recursos de IP de saída individuais dentro do modelo selecionado, mas não é possível alternar um gateway NAT existente entre IPs de saída gerenciados por Azure e definidos pelo cliente. Você também não pode alterar a SKU do gateway nat. Não há suporte para downgrade de StandardV2 para Standard.

Criar um cluster AKS com um userAssignedNatGateway

Essa configuração requer a rede bring-your-own (via CNI do Azure) e que o Gateway da NAT seja pré-configurado na sub-rede. Tanto gateways da NAT Padrão quanto Padrão V2 são suportados para este outbound-type. Os comandos a seguir criam os recursos necessários para implantar um recurso de gateway NAT StandardV2 para o cluster do AKS.

1. Crie um grupo de recursos usando o comando az group create.

   # Set environment variables for resource group, AKS cluster, public IP, and public IP prefix names
   export RANDOM_SUFFIX=$(openssl rand -hex 3)
   export MY_RG="myResourceGroup$RANDOM_SUFFIX"
   
   # Create the resource group
   az group create --name $MY_RG --location southcentralus
   

2. Crie uma identidade gerenciada para permissões de rede e armazene a ID $IDENTITY_ID para uso posterior.

   export IDENTITY_NAME="myNatClusterId$RANDOM_SUFFIX"
   export IDENTITY_ID=$(az identity create \
       --resource-group $MY_RG \
       --name $IDENTITY_NAME \
       --location southcentralus \
       --query id \
       --output tsv)
   

   Exemplo de saída:

   /xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroupxxx/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myNatClusterIdxxx
   

3. Crie um IP público StandardV2 para o gateway NAT usando o az network public-ip create comando. Um gateway NAT StandardV2 requer um endereço IP público StandardV2.

   export PIP_NAME="myNatGatewayPip$RANDOM_SUFFIX"
   az network public-ip create \
       --resource-group $MY_RG \
       --name $PIP_NAME \
       --location southcentralus \
       --allocation-method Static \
       --version IPv4 \
       --zone 1 2 3 \
       --sku standard-v2
   

4. Crie o gateway NAT StandardV2 usando o az network nat gateway create comando.

   export NATGATEWAY_NAME="myNatGateway$RANDOM_SUFFIX"
   az network nat gateway create \
       --resource-group $MY_RG \
       --name $NATGATEWAY_NAME \
       --location southcentralus \
       --public-ip-addresses $PIP_NAME \
       --sku StandardV2
       --idle-timeout 4
   

   Importante

   Para garantir a redundância de zona, implante um recurso de gateway NAT StandardV2, que se estende por várias zonas de disponibilidade em uma região. Essa configuração garante a conectividade de saída contínua mesmo se uma única zona falhar. Para obter mais detalhes sobre o gateway NAT StandardV2 e seus benefícios, consulte o Gateway NAT StandardV2. Em comparação, um recurso de gateway nat padrão fornece resiliência somente dentro da zona de disponibilidade na qual você o implanta.

5. Criar uma rede virtual usando o comando az network vnet create.

   export VNET_NAME="myVnet$RANDOM_SUFFIX"
   az network vnet create \
       --resource-group $MY_RG \
       --name $VNET_NAME \
       --location southcentralus \
       --address-prefixes 172.16.0.0/20 
   

6. Crie uma sub-rede na rede virtual com o Gateway da NAT e armazene a ID em $SUBNET_ID para uso posterior.

   export SUBNET_NAME="myNatCluster$RANDOM_SUFFIX"
   export SUBNET_ID=$(az network vnet subnet create \
       --resource-group $MY_RG \
       --vnet-name $VNET_NAME \
       --name $SUBNET_NAME \
       --address-prefixes 172.16.0.0/22 \
       --nat-gateway $NATGATEWAY_NAME \
       --query id \
       --output tsv)
   

7. Crie um cluster do AKS usando a sub-rede com o Gateway da NAT e a identidade gerenciada usando o comando az aks create.

   export AKS_NAME="myNatCluster$RANDOM_SUFFIX"
   az aks create \
       --resource-group $MY_RG \
       --name $AKS_NAME \
       --location southcentralus \
       --network-plugin azure \
       --vnet-subnet-id $SUBNET_ID \
       --outbound-type userAssignedNATGateway \
       --assign-identity $IDENTITY_ID \
       --generate-ssh-keys
   

Considerações sobre produção

Quando você usa o gateway NAT gerenciado em produção, planeje o comportamento de tráfego de saída, o acesso ao servidor de API e a resiliência da carga de trabalho.

• Use o AKS Automatic quando quiser a configuração padrão recomendada, pronta para produção, para a maioria das cargas de trabalho do AKS.
• Use o gateway NAT gerenciado no AKS Standard quando quiser conectividade de saída gerenciada pelo AKS sem trazer seu próprio gateway NAT.
• Use um cluster privado ou uma integração de VNet do Servidor de API quando quiser reduzir a exposição do tráfego do servidor de API.
• Examine os requisitos de IP de saída antes de entrar em ação.
• Se suas cargas de trabalho dependerem de endereços de saída fixos, valide se o gateway NAT gerenciado atende a esses requisitos antes da implantação.
• Se você precisar gerenciar o NAT independentemente do AKS, use um gateway NAT atribuído pelo usuário.

Desabilitar OutboundNAT para Windows

Windows OutboundNAT pode causar determinados problemas de conexão e comunicação com os pods do AKS. Um exemplo de problema é a reutilização da porta do nó. Neste exemplo, a OutboundNAT do Windows usa as portas para converter o IP do pod no IP do host do nó do Windows, o que pode causar uma conexão instável com o serviço externo devido a um problema de esgotamento de porta.

Windows habilita o OutboundNAT por padrão. Agora você pode desabilitar manualmente o OutboundNAT ao criar novos pools de agentes Windows.

Pré-requisitos e limitações

• Você precisa de um cluster AKS existente com v1.26 ou posterior. Se você estiver usando o Kubernetes versão 1.25 ou anterior, atualize a configuração de implantação.
• Você não pode definir o tipo de saída do cluster como LoadBalancer. Você pode definir como Gateway da NAT ou UDR:
  • Gateway nat: o Gateway nat lida automaticamente com conexões NAT e é mais poderoso do que Standard Load Balancer. Você pode incorrer em encargos extras usando essa opção.
  • UDR (UserDefinedRouting): tenha em mente as limitações de porta ao configurar as regras de roteamento.
  • Para migrar de um balanceador de carga para um gateway NAT, você pode adicionar um gateway NAT à VNet ou executar az aks upgrade para atualizar o tipo de tráfego de saída.

Desabilitar manualmente o OutboundNAT para Windows

• Desabilite manualmente o OutboundNAT para Windows ao criar novos pools de agentes Windows usando o comando az aks nodepool add com o sinalizador --disable-windows-outbound-nat.

  Observação

  Você pode usar um cluster do AKS existente, mas talvez precise atualizar o tipo de saída e adicionar um pool de nós para habilitar o --disable-windows-outbound-nat.

  export WIN_NODEPOOL_NAME="win$(head -c 1 /dev/urandom | xxd -p)"
  az aks nodepool add \
      --resource-group $MY_RG \
      --cluster-name $MY_AKS \
      --name $WIN_NODEPOOL_NAME \
      --node-count 3 \
      --os-type Windows \
      --disable-windows-outbound-nat
  

  Exemplo de saída:

  {
    "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroupxxx/providers/Microsoft.ContainerService/managedClusters/myNatClusterxxx/agentPools/mynpxxx",
    "name": "mynpxxx",
    "osType": "Windows",
    "provisioningState": "Succeeded",
    "resourceGroup": "myResourceGroupxxx",
    "type": "Microsoft.ContainerService/managedClusters/agentPools"
  }
  

Conteúdo relacionado

Para obter mais informações sobre Gateway da NAT do Azure e AKS Automatic, consulte os seguintes artigos:

• Gateway da NAT do Azure
• O que é o AKS Automatic?
• Criar um cluster automático do AKS