Personalizar a saída do cluster com tipos de saída no AKS (Serviço de Kubernetes do Azure)

Você pode personalizar a saída para um cluster AKS para se adequar a cenários específicos. Por padrão, o AKS cria um Standard Load Balancer para ser configurado e usado para saída. Contudo, é possível que a configuração padrão não atenda aos requisitos de todos os cenários se os IPs públicos não forem permitidos ou se forem necessários saltos adicionais para a saída.

Este artigo aborda os vários tipos de conectividade de saída que estão disponíveis nos clusters AKS.

Limitações

• A configuração outboundType requer clusters do AKS com um vm-set-type de VirtualMachineScaleSets e load-balancer-sku de Standard.

Tipos de saída em AKS

Você pode configurar um cluster do AKS usando os seguintes tipos de saída: balanceador de carga, gateway NAT ou rotas definidas pelo usuário. O tipo de saída afeta apenas o tráfego de saída do seu cluster. Confira mais informações em configurar controladores de entrada.

Tipo de saída: Load Balancer

O balanceador de carga é usado para saída através de um IP público atribuído por AKS. Um tipo de saída de loadBalancer dá suporte aos serviços Kubernetes do tipo loadBalancer, que esperam a saída do balanceador de carga criado pelo provedor de recursos do AKS.

Se loadBalancer for definido, o AKS completa automaticamente a seguinte configuração:

• Um endereço IP público é criado para a saída do cluster.
• O endereço IP público é atribuído ao recurso do balanceador de carga.
• Os pools de back-end para o balanceador de carga são configurados para nós do agente no cluster.

Para obter mais informações, consulte usando um balanceador de carga padrão no AKS.

Tipo de saída: NAT Gateway

Se o managedNATGatewayV2 (Versão prévia), managedNATGateway ou o userAssignedNATGateway forem selecionados para outboundType, o AKS dependerá do gateway da NAT da Rede do Azure para saída do cluster.

• Selecione managedNATGatewayV2 ou managedNATGateway ao usar redes virtuais gerenciadas. O AKS provisiona um gateway NAT StandardV2 com managedNATGatewayV2 e um gateway NAT Standard com managedNATGateway, anexando-os à sub-rede do cluster. O gateway NAT StandardV2 é recomendado porque é com redundância de zona por padrão e oferece maior largura de banda e taxa de transferência. Para obter informações, consulte StandardV2 NAT Gateway.
• Selecione userAssignedNATGateway ao usar rede virtual própria. Essa opção requer que você tenha criado um gateway da NAT antes da criação do cluster. Há suporte para gateways NAT Standard e StandardV2.

Para mais informações, consulte o uso do gateway NAT com AKS.

Tipo de saída: rotas definidas pelo usuário

Se um userDefinedRouting estiver definido, o AKS não irá configurar os caminhos de saída automaticamente. Você deve realizar a configuração de saída.

Você precisa implantar um cluster do AKS em uma rede virtual existente com uma sub-rede configurada. Como você não está usando uma arquitetura de balanceador de carga padrão (SLB), você deve estabelecer uma saída explícita. Esta arquitetura exige o envio explícito do tráfego de saída para um dispositivo como um firewall, gateway, proxy, ou permite que a NAT seja realizada por um IP público atribuído ao balanceador de carga padrão ou ao dispositivo.

Para obter mais informações, consulte a configuração da saída do cluster através de roteamento definido pelo usuário.

Tipo de saída: nenhum

Se none for definido, o AKS não configurará automaticamente os caminhos de saída. Esta opção é semelhante a userDefinedRouting, mas não requer uma rota padrão como parte da validação.

O tipo de saída none é compatível tanto em cenários de rede virtual de fabricação própria (BYO) quanto em cenários de VNet gerenciada. No entanto, você deve garantir que o cluster do AKS seja implantado em um ambiente de rede em que os caminhos de saída explícitos sejam definidos, se necessário. Para cenários de BYO VNet, o cluster precisa ser implantado em uma rede virtual existente com uma sub-rede já configurada. Como o AKS não cria um Standard Load Balancer nem nenhuma infraestrutura de saída, você precisa estabelecer caminhos de saída explícitos, se necessário. As opções de saída podem incluir o roteamento de tráfego para um firewall, proxy, gateway ou outras configurações de rede personalizadas.

Tipo de saída: bloco (Versão prévia)

Se block estiver definido, o AKS irá configurar regras de rede para bloquear ativamente todo o tráfego de saída partindo do cluster. Esta opção é útil para ambientes altamente seguros em que a conectividade de saída deve ser restrita.

Ao usar block:

• O AKS garante que nenhum tráfego público de Internet possa deixar o cluster por meio de regras de grupo de segurança de rede (NSG). O tráfego de VNet não é afetado.
• Você precisa permitir explicitamente qualquer tráfego de saída necessário por meio de configurações de rede adicionais.

A opção block fornece um outro nível de isolamento de rede, mas requer um planejamento cuidadoso para evitar a interrupção de cargas de trabalho ou dependências.

Atualização de outboundType após a criação do cluster

A alteração do tipo de saída após a criação do cluster implanta ou remove os recursos conforme necessário para colocar o cluster na nova configuração de saída.

As tabelas a seguir mostram os caminhos de migração com suporte entre os tipos de saída para redes virtuais gerenciadas e BYO (Traga a Sua Própria). Cada linha mostra se o tipo de saída pode ser migrado para os tipos listados na parte superior. "Com suporte" significa que a migração é possível, enquanto "Sem Suporte" ou "N/A" significa que não é.

Caminhos de migração suportados para VNet gerenciada

Caminhos de migração com suporte para VNet BYO

Atualizar cluster para usar um novo tipo de saída

Atualize a configuração de saída do seu cluster usando o comando az aks update.

Atualizar o cluster de loadBalancer para managedNATGatewayV2

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGatewayV2 --nat-gateway-managed-outbound-ipv6-count <number of managed outbound ipv6>

Atualizar o cluster de managedNATGateway para loadBalancer

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
< --load-balancer-managed-outbound-ip-count <number of managed outbound ip> | --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

Atualizar o cluster de managedNATGateway para userDefinedRouting

Adicione a rota 0.0.0.0/0 à tabela de rotas padrão. Consulte Personalize a saída do cluster com uma tabela de roteamento definida pelo usuário no AKS (Serviço de Kubernetes do Azure)

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

Atualizar o cluster de loadBalancer para userAssignedNATGateway no cenário de BYO VNet

Associe o gateway NAT à sub-rede à qual a carga de trabalho está associada. Consulte Criar um gateway NAT gerenciado ou designado pelo usuário

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Conteúdo relacionado

• Configurar o balanceamento de carga padrão em um cluster do AKS
• Configurar o gateway da NAT em um cluster do AKS
• Configurar o roteamento definido pelo usuário em um cluster do AKS
• Documentação do gateway da NAT
• Visão geral da rede UDR do Azure
• Gerenciar tabelas de roteamento