Personalizar cluster egress com tipos de saída em Azure Kubernetes Service (AKS)

Por defeito, o AKS utiliza um Balanceador de Carga Standard para saída. Pode personalizar esta configuração para cenários que proíbem endereços IP públicos ou exigem saltos extra de saída.

Este artigo descreve os tipos de conectividade de saída disponíveis para clusters AKS.

Limitações

• A configuração outboundType requer clusters AKS com um vm-set-type de VirtualMachineScaleSets e um load-balancer-sku de Standard.

Tipos de saída no AKS

Pode configurar um cluster AKS usando os seguintes tipos de saída: balanceador de carga, gateway NAT, rotas definidas pelo utilizador, noneou block. O tipo de saída afeta apenas o tráfego de saída do seu cluster. Para mais informações, veja conceitos de networking de ingress.

Tipo de saída: Balanceador de Carga

O balanceador de carga é usado para saída através de um IP público atribuído pelo AKS. Um tipo de loadBalancer saída suporta serviços Kubernetes do tipo loadBalancer, que esperam saída do balanceador de carga criado pelo provedor de recursos AKS.

Se loadBalancer estiver definido, o AKS conclui automaticamente a seguinte configuração:

• Um endereço IP público é criado para a saída do cluster.
• O endereço IP público é atribuído ao recurso do balanceador de carga.
• Os pools de back-end para o balanceador de carga são configurados para nós de agente no cluster.

Para obter mais informações, consulte Usando um balanceador de carga padrão no AKS.

Tipo de saída: NAT Gateway

Quando selecionas managedNATGateway ou userAssignedNATGateway para outboundType, o AKS usa o Azure NAT Gateway para saída do cluster.

• Selecione managedNATGateway para redes virtuais geridas por AKS. A partir da versão 2026-06-01 da API, o AKS utiliza por predefinição StandardV2 nas regiões onde está disponível e, caso contrário, utiliza Standard.
• Selecione userAssignedNATGateway para redes virtuais próprias. Crie um gateway NAT antes de criar o cluster. Tanto os SKUs Standard como StandardV2 NAT Gateway são suportados.

O StandardV2 NAT Gateway é recomendado porque é redundante por zona por defeito e oferece maior largura de banda e rendimento. Para mais informações, consulte StandardV2 NAT Gateway.

Para obter mais informações, consulte Utilização do gateway NAT com o AKS.

Tipo de saída: Rotas Definidas pelo Usuário

Se definires userDefinedRouting, o AKS não configura automaticamente os caminhos de saída. Configure o caminho de egresso.

Deve implementar o cluster AKS numa rede virtual existente com uma sub-rede que configurar. Como não está a usar a arquitetura Balanceador de Carga Standard, deve configurar o tráfego de saída explícito. Configure uma tabela de rotas com uma 0.0.0.0/0 rota que aponte para um gateway ou dispositivo virtual de rede, e associe a tabela de rotas à sub-rede do cluster.

Para obter mais informações, consulte configurando a saída do cluster por meio do roteamento definido pelo usuário.

Tipo de saída: nenhum

Se definires none, o AKS não configura automaticamente os caminhos de saída. Esta opção é semelhante userDefinedRouting , mas não requer uma rota padrão como parte da validação.

O none tipo de saída suporta tanto traga a sua própria rede virtual (BYO) como redes virtuais geridas pelo AKS. Para uma rede virtual BYO, implemente o cluster numa rede virtual existente com uma sub-rede configurada. O AKS não cria um Balanceador de Carga Standard nem outra infraestrutura de saída, por isso configure qualquer caminho de saída necessário através de um firewall, proxy, gateway ou outro componente de rede personalizado.

Tipo de saída: bloco (Pré-visualização)

Se definires block, o AKS configura regras de rede para bloquear o tráfego de saída do cluster. Esta opção é útil para ambientes altamente seguros onde a conectividade de saída deve ser restrita.

Ao utilizar block:

• O AKS garante que nenhum tráfego público da Internet possa sair do cluster através das regras do grupo de segurança de rede (NSG). O tráfego de VNet não é afetado.
• Você deve permitir explicitamente qualquer tráfego de saída necessário por meio de configurações de rede extras.

A opção block proporciona isolamento de rede, mas requer um planeamento cuidadoso para evitar perturbações das cargas de trabalho ou das dependências.

Atualize outboundType após a criação do cluster

A alteração do tipo de saída após a criação do cluster implanta ou remove recursos conforme necessário para colocar o cluster na nova configuração de saída.

As tabelas a seguir mostram os caminhos de migração suportados entre tipos de saída para redes virtuais gerenciadas e BYO. Cada linha mostra se o tipo de saída pode ser migrado para os tipos listados na parte superior. "Suportado" significa que a migração é possível, enquanto "Não suportado" ou "N/A" significa que não é.

Caminhos de migração suportados para VNet gerido

A tabela seguinte lista os caminhos de migração de tipos de saída suportados para clusters AKS que utilizam redes virtuais geridas por AKS.

Comportamento de SKU de gateway NAT gerido

A tabela seguinte descreve como o SKU de gateway NAT gerido se comporta com a versão 2026-06-01 da API e posteriores.

Caminhos de migração suportados para BYO VNet

A tabela seguinte lista os caminhos de migração de tipos de saída suportados para clusters AKS que utilizam redes virtuais próprias (BYO).

Atualizar o tipo de saída do cluster com CLI do Azure

Atualize a configuração de saída do cluster usando o az aks update comando.

Atualizar o cluster de loadBalancer para managedNATGateway com o StandardV2

Quando usa uma versão da API 2026-06-01 ou posterior e trabalha numa região com disponibilidade de gateway NAT StandardV2, o SKU predefinido para o tipo de saída managedNATGateway é StandardV2.

{
  "properties": {
    "networkProfile": {
      "outboundType": "managedNATGateway"
      }
    }
  }
}

Atualizar cluster de loadBalancer para userAssignedNATGateway no cenário BYO VNet

Antes de executar o comando update, associe um gateway NAT existente à sub-rede do cluster. Para passos completos de configuração, consulte Criar um gateway NAT gerido ou atribuído pelo utilizador.

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Conteúdo relacionado

• Configurar o balanceamento de carga padrão em um cluster AKS
• Configurar gateway NAT em um cluster AKS
• Configurar o roteamento definido pelo usuário em um cluster AKS
• Visão geral da UDR do Azure
• Gerenciar tabelas de rotas