Pravidla odchozích přenosů Azure Load Balancer

Odchozí pravidla umožňují explicitně definovat překlad adres zdrojové sítě (SNAT) pro veřejný Standard Load Balancer. Tato konfigurace umožňuje používat veřejné IP adresy vašeho nástroje pro vyrovnávání zatížení k poskytování odchozího připojení k internetu pro vaše back-endové instance.

Tato konfigurace umožňuje:

  • Maskování IP adres
  • Zjednodušení seznamů povolených položek
  • Snižuje počet veřejných IP adres potřebných pro nasazení.

U odchozích pravidel máte úplnou deklarativní kontrolu nad odchozí internetovou konektivitou. Odchozí pravidla umožňují škálovat a ladit tuto schopnost vašim konkrétním potřebám.

Odchozí pravidla platí pouze tehdy, když backendový virtuální stroj (VM) nemá veřejnou IP adresu na úrovni instance.

Snímek obrazovky s konfigurací SNAT portů na virtuálních počítačích s pravidly vyrovnávání odchozí zátěže

Pomocí odchozích pravidel můžete explicitně definovat chování odchozího SNAT.

Odchozí pravidla umožňují řídit:

  • Které virtuální počítače jsou přeloženy na které veřejné IP adresy.
    • Dvě pravidla, u kterých backendový pool 1 používá modré IP adresy a backendový pool 2 používá žlutou předponu IP.
  • Jak se přidělují odchozí porty SNAT.
    • Pokud je back-endový fond 2 jediným fondem, který vytváří odchozí připojení, dej všechny porty SNAT back-endovému fondu 2 a žádné back-endovému fondu 1.
  • Pro které protokoly se mají poskytovat odchozí překlad.
    • Pokud backendový fond 2 potřebuje porty UDP pro odchozí spojení a backendový fond 1 potřebuje TCP, přidělte porty TCP fondu 1 a porty UDP fondu 2.
  • Jaká doba trvání se má použít pro vypršení časového limitu nečinnosti odchozího připojení (4–120 minut).
    • Pokud existují dlouhotrvající připojení s keepalives, zarezervujte nečinné porty pro dlouhotrvající připojení po dobu až 120 minut. Předpokládejme, že za 4 minuty dochází k opuštění zastaralých připojení a uvolnění portů pro nová připojení.
  • Určuje, jestli se má při vypršení časového limitu nečinnosti odeslat resetování protokolu TCP.
    • Při vypršení časového limitu nečinných připojení odešleme klientovi a serveru protokol TCP RST, aby věděli, že je tok opuštěný?

Důležité

Pokud je fond serverů na pozadí nakonfigurován podle IP adresy, bude se chovat jako základní Load Balancer s povoleným výchozím odchozím připojením. Pro zabezpečení výchozí konfigurace a aplikací s náročnými odchozími potřebami nakonfigurujte fond back-endu podle síťové karty.

Definice odchozího pravidla

Odchozí pravidla se řídí stejnou známou syntaxí jako vyrovnávání zatížení a příchozí pravidla překladu adres (NAT): frontend + parametry + back-endový bazén.

Odchozí pravidlo konfiguruje odchozí překlad adres (NAT) pro všechny virtuální počítače identifikované backendovým fondem tak, aby byly přeloženy na frontend.

Parametry poskytují podrobnou kontrolu nad odchozím NAT algoritmem.

Škálování odchozího NAT pomocí vícero IP adres

Každá další IP adresa poskytovaná front-endem poskytuje dalších 64 000 dočasných portů pro nástroj pro vyrovnávání zatížení, které se mají používat jako porty SNAT. Nástroj pro vyrovnávání zatížení podle potřeby využívá IP adresy na základě dostupných portů. Nástroj pro vyrovnávání zatížení použije další IP adresu, jakmile už nebude možné provést připojení s aktuální ip adresou, která se používá.

K plánování rozsáhlých scénářů použijte více IP adres. Pomocí pravidel odchozích přenosů můžete zmírnit vyčerpání SNAT, jak je popsáno v tématu Support a řešení potíží pro Azure Load Balancer.

Můžete také použít předponu veřejné IP adresy přímo s odchozím pravidlem.

Předpona veřejné IP adresy zvyšuje škálování vašeho nasazení. Předponu je možné přidat do seznamu povolených toků pocházejících z vašich Azure prostředků. Konfiguraci front-endové IP adresy v rámci nástroje pro vyrovnávání zatížení můžete nakonfigurovat tak, aby odkazovat na předponu veřejné IP adresy.

Nástroj pro vyrovnávání zatížení má kontrolu nad předponou veřejné IP adresy. Pravidlo odchozích přenosů bude automaticky používat další veřejné IP adresy obsažené v předponě veřejné IP adresy, jakmile nebude možné vytvořit další odchozí připojení s aktuální IP adresou, která se používá z předpony.

Každá z IP adres v rámci veřejného IP prefixu poskytuje dalších 64 000 efemérních portů na adresu, aby je nástroj pro vyrovnávání zatížení mohl použít jako SNAT porty.

Vypršení časového limitu nečinnosti odchozího toku a resetování protokolu TCP

Odchozí pravidla poskytují parametr konfigurace, který řídí časový limit nečinnosti odchozího toku a odpovídá potřebám vaší aplikace. Časový limit nečinnosti odchozích přenosů je ve výchozím nastavení 4 minuty. Další informace najdete v tématu Konfigurace časových limitů nečinnosti.

Výchozí chování nástroje pro vyrovnávání zatížení spočívá v tichém vyřazení toku, když bylo dosaženo časového limitu nečinnosti odchozího provozu. Tento enableTCPReset parametr umožňuje předvídatelné chování a řízení aplikace. Parametr určuje, zda se má při vypršení časového limitu nečinnosti pro odchozí připojení odeslat obousměrné resetování TCP (TCP RST).

Podívejte se na TCP Reset při vypršení časového limitu nečinnosti pro podrobnosti včetně dostupnosti v regionech.

Explicitní zabezpečení a řízení odchozího připojení

Pravidla vyrovnávání zatížení poskytují automatické programování odchozího překladu adres (NAT). Některé scénáře mají přínos nebo vyžadují zakázání automatického nastavování odchozího NAT pravidlem vyrovnávání zatížení. Zakázání prostřednictvím pravidla umožňuje řídit nebo upřesnit chování.

Tento parametr můžete použít dvěma způsoby:

  1. Omezení vstupních IP adres pro odchozí SNAT. V pravidle vyrovnávání zatížení zakažte odchozí SNAT.

  2. Vylaďte odchozí parametry SNAT IP adresy, používané současně pro příchozí i odchozí provoz. Automatické odchozí NAT musí být zakázané, aby pravidlo pro odchozí provoz mohlo převzít řízení. Pokud chcete změnit přidělení portu SNAT adresy používané také pro příchozí spojení, disableOutboundSnat musí být parametr nastaven na hodnotu true.

Operace konfigurace odchozího pravidla selže, pokud se pokusíte předefinovat IP adresu, která se používá pro příchozí provoz. Nejprve zakažte odchozí překlad adres (NAT) pravidla vyrovnávání zatížení.

Důležité

Pokud tento parametr nastavíte na hodnotu true a nemáte odchozí pravidlo pro definování odchozího připojení, virtuální počítač nebude mít odchozí připojení. Některé operace vašeho virtuálního počítače nebo aplikace můžou záviset na dostupnosti odchozího připojení. Ujistěte se, že rozumíte závislostem vašeho scénáře a zvážili dopad této změny.

Někdy je nežádoucí, aby virtuální počítač vytvořil odchozí tok. Je možné, že bude nutné spravovat destinace, které přijímají odchozí toky, nebo které iniciují příchozí toky. Použijte skupiny zabezpečení sítě ke správě destinací, kam má virtuální počítač přístup. Pomocí skupin zabezpečení sítě můžete spravovat, které veřejné cíle spouštějí příchozí toky.

Když použijete skupinu zabezpečení sítě na virtuální počítač s vyrovnáváním zatížení, věnujte pozornost značkám služeb a výchozím pravidlům zabezpečení.

Ujistěte se, že virtuální počítač může přijímat požadavky sond stavu z Azure Load Balancer.

Pokud skupina zabezpečení sítě blokuje požadavky sondy stavu z výchozí značky AZURE_LOADBALANCER, sonda stavu virtuálního počítače selže a virtuální počítač je označený jako nedostupný. Nástroj pro vyrovnávání zatížení přestane do daného virtuálního počítače odesílat nové toky.

Scénáře odchozích pravidel

Scénář 1: Konfigurace odchozích připojení ke konkrétní sadě veřejných IP adres nebo předpony

Nastavte veřejné IP adresy používané pro odchozí spojení

Tento scénář platí pro backendové VM na veřejném Standard Load Balancer. Použijte ho k tomu, aby odchozí spojení pocházela z konkrétní sady veřejných IP adres nebo veřejného IP prefixu. Pak můžete tyto adresy nebo prefix přidat do seznamu povolených nebo blokovaných listů.

Tato veřejná IP adresa nebo předpona může být stejná jako ta použitá v pravidle vyrovnávání zatížení.

Pokud chcete použít jinou veřejnou IP adresu nebo předponu, než jaké používá pravidlo vyrovnávání zatížení:

  1. Vytvořte předponu veřejné IP adresy nebo veřejnou IP adresu.
  2. Vytvořte veřejný standardní load balancer.
  3. Vytvořte front-end odkazující na předponu veřejné IP adresy nebo veřejnou IP adresu, kterou chcete použít.
  4. Opětovné použití back-endového fondu nebo vytvoření nového fondu pro back-end a umístění virtuálních počítačů do fondu veřejného load balanceru.
  5. Nakonfigurujte odchozí pravidlo na veřejném vyrovnávači zatížení, které povolí odchozí překlad adres (NAT) pro virtuální počítače pomocí frontendu. Pro odchozí provoz se nedoporučuje používat pravidlo vyrovnávání zatížení. V pravidle vyrovnávání zatížení zakažte odchozí SNAT.

Scénář 2: Úprava přidělování portů SNAT

Konfigurujte SNAT porty pro každou backendovou instanci

Tento scénář platí pro veřejný Standard Load Balancer s odchozím pravidlem. Použijte ho k ladění automatického přidělování SNAT portů podle velikosti backendového poolu, včetně zvýšení alokace, když zažíváte vyčerpání SNAT.

Pravidlo alokace Behavior
Dostupné porty podle frontendu Každá veřejná IP adresa přispívá až k 64 000 dočasným portům.
Porty dostupné pro VM Rozdělte celkový počet dostupných portů mezi VM v backend poolu. Například jeden VM může přijímat až 64 000 portů z jedné frontendové IP adresy, zatímco dva VM mohou přijímat až 32 000 portů každý.
Přírůstek alokace Specifikujte porty v násobcích osmi. Azure nepřijímá hodnoty, které nejsou dělitelné osmi. Pravidla pro vyrovnávání zatížení a pravidla příchozího překladu adres (NAT) každé využívá rozsah osmi portů, ale pravidla, která sdílejí stejný rozsah portů, nevyužívají žádné další porty.
Validace kapacity Porty přidělené na VM vynásobené počtem VM nesmí překročit porty dostupné ze všech frontendových IP adres. Azure odmítá alokace, které tuto kapacitu překračují.
Obnovení automatického přidělení Uveďte 0 počet portů.

Například přidělení 10 000 portů na VM pro sedm VM vyžaduje 70 000 portů. Jedna frontendová IP adresa poskytuje pouze 64 000 portů, takže Azure tuto konfiguraci odmítá. Přidejte další veřejnou IP adresu do frontendu nebo snižte alokaci na VM.

Pro více informací viz tabulka alokace portů SNAT.

Scénář 3: Povolení pouze odchozích přenosů

Zajištění odchozí konektivity bez příchozích pravidel

Tento scénář se vztahuje na veřejný nástroj Standard Load Balancer, jehož virtuální počítače v back-endu potřebují odchozí připojení bez příchozích pravidel pro vyrovnávání zatížení. Nakonfigurujte odchozí pravidlo samostatně, bez nutnosti konfigurovat další pravidla.

Poznámka:

Azure NAT Gateway může poskytovat odchozí připojení pro virtuální počítače bez nutnosti nástroje pro vyrovnávání zatížení. Další informace najdete v tématu Co je Azure NAT Gateway?.

Scénář 4: Odchozí NAT jenom pro virtuální stroje (bez příchozí)

Poznámka:

Azure NAT Gateway může poskytovat odchozí připojení pro virtuální počítače bez nutnosti nástroje pro vyrovnávání zatížení. Další informace najdete v tématu Co je Azure NAT Gateway?.

Konfigurujte konektivitu pouze pro výstupní zařízení pro backendové VM

Tento scénář platí pro VM, které potřebují výstup z virtuální sítě bez příchozího připojení. Azure Load Balancer outbound rules a Azure NAT Gateway jsou dostupné možnosti.

  1. Vytvořte veřejnou IP adresu nebo předponu.
  2. Vytvořte veřejný standardní vyrovnávač zatížení.
  3. Vytvořte front-end přidružený k veřejné IP adrese nebo předponě vyhrazené pro odchozí provoz.
  4. Vytvořte backendový pool pro virtuální počítače.
  5. Umístěte virtuální počítače do backendového fondu.
  6. Nakonfigurujte odchozí pravidlo pro povolení překladu síťových adres (NAT).

Ke škálování portů SNAT použijte předponu nebo veřejnou IP adresu. Přidejte zdroj odchozích připojení do seznamu povolených nebo blokovaných připojení.

Scénář 5: Odchozí překlad adres (NAT) pro interní standardní vyrovnávač zatížení

Poznámka:

Azure NAT Gateway může virtuálním počítačům poskytovat odchozí připojení využívající interní standardní nástroj pro vyrovnávání zatížení. Další informace najdete v tématu Co je Azure NAT Gateway?.

Zajistit odchozí konektivitu pro interní standardní nástroj pro vyrovnávání zatížení

Tento scénář platí pro backendové VM, které používají interní standardní load balancer. Tyto VM nemají odchozí konektivitu, dokud ji explicitně neposkytnete přes veřejné IP adresy na úrovni instance, Azure NAT Gateway nebo veřejnou výchozí konfiguraci load balanceru, kterou přiřadíte členům backendového poolu.

Další informace najdete v tématu Konfigurace nástroje pro vyrovnávání zatížení pouze pro odchozí provoz.

Scénář 6: Povolení obou protokolů TCP &UDP pro odchozí překlad adres (NAT) s veřejným standardním nástrojem pro vyrovnávání zatížení

Povolte TCP a UDP pro odchozí NAT

Tento scénář platí pro veřejný Standard Load Balancer. Automatický odchozí NAT odpovídá transportnímu protokolu pravidla vyvažování zátěže. Pro zajištění jak TCP, tak UDP odchozí konektivity nakonfigurujte odchozí pravidlo, které využívá všechny protokoly.

  1. V pravidle vyrovnávání zatížení zakažte odchozí SNAT .
  2. Nakonfigurujte odchozí pravidlo na stejném nástroji pro vyrovnávání zatížení.
  3. Znovu použijte back-endový pool, který už vaše virtuální počítače používají.
  4. Jako součást odchozího pravidla zadejte "protocol": "All".

Pokud se použijí jenom příchozí pravidla překladu adres (NAT), není k dispozici žádný odchozí překlad adres (NAT).

  1. Umístěte virtuální počítače do back-endového fondu.
  2. Definování jedné nebo více konfigurací front-endových IP adres s veřejnými IP adresami nebo předponou veřejné IP adresy
  3. Nakonfigurujte odchozí pravidlo na stejném nástroji pro vyrovnávání zatížení.
  4. Jako součást pravidla odchozích přenosů zadejte "protocol": "All".

Omezení

  • Maximální počet použitelných dočasných portů na IP adresu front-endu je 64 000.
  • Rozsah konfigurovatelného časového limitu nečinnosti pro odchozí spojení je 4 až 120 minut (240 až 7200 sekund).
  • Nástroj pro vyrovnávání zatížení nepodporuje PROTOKOL ICMP pro odchozí překlad adres (NAT), jedinými podporovanými protokoly jsou TCP a UDP.
  • Odchozí pravidla se dají použít jenom na primární konfiguraci IPv4 síťové karty. Nemůžete vytvořit odchozí pravidlo pro sekundární konfigurace IPv4 virtuálního počítače nebo síťového virtuálního zařízení. Podporováno je více síťových karet.
  • Odchozí pravidla pro konfiguraci sekundární IP adresy se podporují jenom pro protokol IPv6.
  • Všechny virtuální počítače v rámci sady dostupnosti musí být přidány do back-endového poolu, aby bylo možné odchozí připojení.
  • Všechny virtuální počítače ve škálovací sadě virtuálních počítačů musí být přidány do back-endového poolu pro zajištění odchozí konektivity.

Další kroky

  • Last updated on