Personnaliser la sortie de cluster avec des types sortants dans Azure Kubernetes Service (AKS)

Vous pouvez personnaliser la sortie d’un cluster AKS pour l’adapter à des scénarios spécifiques. Par défaut, AKS approvisionne un équilibreur de charge de référence SKU standard à configurer et utiliser pour la sortie. Cependant, la configuration par défaut peut ne pas répondre aux exigences de tous les scénarios si les adresses IP publiques ne sont pas autorisées ou si des tronçons supplémentaires sont nécessaires pour la sortie.

Cet article décrit les différents types de connectivité sortante disponibles dans les clusters AKS.

Limites

• La définition de outboundType nécessite des clusters AKS avec un vm-set-typeVirtualMachineScaleSets et une load-balancer-skuStandard.

Types sortants dans AKS

Vous pouvez configurer un cluster AKS à l’aide des types sortants suivants : équilibreur de charge, passerelle NAT ou routage défini par l’utilisateur. Le type de sortie impacte seulement le trafic de sortie de votre cluster. Pour plus d’informations, consultez Configuration des contrôleurs d’entrée.

Type sortant de loadBalancer

L’équilibreur de charge est utilisé pour la sortie via une adresse IP publique affectée à AKS. Un type de sortie loadBalancer prend en charge les services Kubernetes de type loadBalancer, qui attendent une sortie de l’équilibreur de charge créé par le fournisseur de ressources AKS.

Si loadBalancer est défini, AKS effectue automatiquement la configuration suivante :

• Une adresse IP publique est provisionnée pour la sortie du cluster.
• L’adresse IP publique est affectée à la ressource d’équilibreur de charge.
• Les pools de back-end pour l’équilibreur de charge sont configurés pour les nœuds d’agent dans le cluster.

Pour plus d’informations, consultez Utiliser un équilibreur de charge standard dans AKS.

Type sortant de managedNatGateway ou userAssignedNatGateway

Si managedNatGateway ou userAssignedNatGateway sont sélectionnés pour outboundType, AKS s’appuie sur la passerelle NAT réseau Azure pour la sortie du cluster.

• Sélectionnez managedNatGateway lorsque vous utilisez des réseaux virtuels managés. AKS approvisionne une passerelle NAT et l’attachera au sous-réseau du cluster.
• Sélectionnez userAssignedNatGateway lors de l’utilisation de la mise en réseau virtuelle bring-your-own. Pour utiliser cette option, vous devez avoir provisionné une passerelle NAT avant la création du cluster.

Pour plus d’informations, consultez Utiliser une passerelle NAT avec AKS.

Type sortant de userDefinedRouting

Si userDefinedRouting est défini, AKS ne configure pas automatiquement les chemins de sortie. Vous devez configurer la sortie vous-même.

Vous devez déployer le cluster AKS dans un réseau virtuel existant, avec un sous-réseau qui a été préalablement configuré. Puisque vous n’utilisez pas une architecture standard d’équilibreur de charge (ou SLB, pour « Standard Load Balancer »), vous devez établir une sortie explicite. Cette architecture requiert l’envoi explicite du trafic sortant vers une appliance comme un pare-feu, une passerelle ou un proxy, ou pour permettre au NAT d’être effectué par une adresse IP publique attribuée à l’équilibreur de charge standard ou à l’appliance.

Pour plus d’informations, consultez Configurer la sortie du cluster via le routage défini par l’utilisateur.

Type sortant de none (préversion)

Si none est défini, AKS ne configure pas automatiquement les chemins de sortie. Cette option est similaire à userDefinedRouting, mais ne nécessite pas de route par défaut dans le cadre de la validation.

Le type sortant none est pris en charge dans les scénarios Apportez votre propre réseau virtuel et les scénarios de VNET managé. Toutefois, vous devez vous assurer que le cluster AKS est déployé dans un environnement réseau où des chemins de sortie explicites sont définis si nécessaire. Pour les scénarios Apportez votre propre réseau virtuel, le cluster doit être déployé dans un réseau virtuel existant avec un sous-réseau qui a été préalablement configuré. Étant donné qu’AKS n’approvisionne pas d’équilibreur de charge standard ni d’infrastructure de sortie, vous devez établir des chemins de sortie explicites si nécessaire. Cela peut inclure le routage du trafic vers un pare-feu, un proxy, une passerelle, ou d’autres configurations réseau personnalisées.

Type sortant de block (préversion)

Si block est défini, AKS configure les règles réseau de façon à bloquer activement tout le trafic de sortie à partir du cluster. Cette option est utile pour les environnements hautement sécurisés où la connectivité sortante doit être restreinte.

Lorsque vous utilisez block :

• AKS garantit qu’aucun trafic Internet public ne peut laisser le cluster via des règles de groupe de sécurité réseau (NSG). Le trafic de réseau virtuel n’est pas affecté.
• Vous devez autoriser explicitement tout trafic de sortie requis via des configurations réseau supplémentaires.

L’option block fournit un niveau supplémentaire d’isolement réseau, mais nécessite une planification minutieuse pour éviter de rompre les charges de travail ou les dépendances.

Mise à jour outboundType après la création du cluster

La modification du type sortant après la création du cluster déploie ou supprime des ressources si nécessaire pour placer le cluster dans la nouvelle configuration de sortie.

Les tableaux suivants indiquent les chemins de migration pris en charge entre les types sortants pour les réseaux virtuels managés et BYO.

Chemins de migration pris en charge pour le VNet managé

Chaque ligne indique si le type sortant peut être migré vers les types répertoriés en haut. « Pris en charge » signifie qu’une migration est possible, alors que « Non pris en charge » ou « N/A » signifie qu’une migration n’est pas possible.

Chemins de migration pris en charge pour le VNet BYO

La migration est prise en charge uniquement entre loadBalancer, managedNATGateway (si vous utilisez un réseau virtuel managé), userAssignedNATGateway et userDefinedRouting (si vous utilisez un réseau virtuel personnalisé).

Mettre à jour un cluster pour utiliser un nouveau type sortant

• Mettez à jour la configuration sortante de votre cluster à l’aide de la commande az aks update.

Mettre à jour le cluster de loadbalancer vers managedNATGateway

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGateway --nat-gateway-managed-outbound-ip-count <number of managed outbound ip>

Mettre à jour le cluster de managedNATGateway vers loadbalancer

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
<--load-balancer-managed-outbound-ip-count <number of managed outbound ip>| --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

Mettre à jour le cluster de managedNATGateway vers userDefinedRouting

• Ajoutez une route 0.0.0.0/0 à la table de routage par défaut. Consultez Personnaliser la sortie du cluster avec une table de routage définie par l’utilisateur dans Azure Kubernetes Service (AKS)

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

Mettre à jour le cluster de loadbalancer vers userAssignedNATGateway dans le scénario VNet BYO

• Associez la passerelle NAT au sous-réseau associé à la charge de travail. Consultez Créer une passerelle NAT managée ou attribuée par l’utilisateur

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

Étapes suivantes

• Configurer l’équilibrage de charge standard dans un cluster AKS
• Configurer la passerelle NAT dans un cluster AKS
• Configurer le routage défini par l’utilisateur dans un cluster AKS
• Documentation sur la passerelle NAT
• Vue d’ensemble de la mise en réseau UDR Azure
• Gérer les tables de routage