Konfigurasi jaringan virtual

Jaringan virtual membuat batas aman di sekitar lingkungan Azure Container Apps Anda. Secara default, lingkungan dibuat dengan VNet yang dibuat secara otomatis. Namun, menggunakan VNet yang ada menyediakan lebih banyak fitur jaringan Azure seperti integrasi dengan Application Gateway, Kelompok Keamanan Jaringan, dan komunikasi dengan sumber daya di belakang titik akhir privat. Konfigurasi ini penting bagi pelanggan perusahaan yang perlu mengisolasi aplikasi internal yang sangat penting dari internet publik.

Saat Anda membuat jaringan virtual, ingatlah situasi berikut:

• Jika Anda ingin aplikasi kontainer membatasi semua akses luar, buat lingkungan Container Apps internal.

• Jika Anda menggunakan VNet Anda sendiri, Anda perlu menyediakan subnet yang didedikasikan khusus untuk aplikasi kontainer Anda. Subnet ini tidak tersedia untuk layanan lain.

• Alamat jaringan ditetapkan dari rentang subnet yang Anda tentukan ketika lingkungan sedang dibuat.

  • Anda dapat menentukan rentang subnet yang digunakan oleh lingkungan Container Apps.

  • Anda dapat membatasi permintaan masuk ke lingkungan secara eksklusif ke VNet dengan menyebarkan lingkungan sebagai internal.

Nota

Saat Anda menyediakan jaringan virtual Anda sendiri, sumber daya tambahan terkelola dibuat. Sumber daya ini dikenakan biaya dengan tarif terkait.

Saat Anda mulai merancang jaringan di sekitar aplikasi kontainer Anda, lihat Merencanakan jaringan virtual.

Nota

Memindahkan VNet di antara grup sumber daya atau langganan yang berbeda tidak diizinkan jika VNet digunakan oleh lingkungan Container Apps.

Subnet

Integrasi jaringan virtual tergantung pada subnet khusus. Alokasi alamat IP dalam subnet dan ukuran subnet yang didukung bergantung pada paket yang Anda gunakan di Azure Container Apps.

Pilih ukuran subnet Anda dengan hati-hati. Ukuran subnet tidak dapat dimodifikasi setelah Anda membuat lingkungan Container Apps.

Jenis lingkungan yang berbeda memiliki persyaratan subnet yang berbeda:

Lingkungan profil beban kerja

• /27 adalah ukuran subnet minimum yang diperlukan untuk integrasi jaringan virtual.

• Anda harus mendelegasikan subnet Anda ke Microsoft.App/environments.

• Saat menggunakan lingkungan eksternal dengan ingress eksternal, lalu lintas masuk dirutekan melalui IP publik infrastruktur daripada melalui subnet Anda.

• Container Apps secara otomatis mencadangkan 12 alamat IP untuk integrasi dengan subnet. Jumlah alamat IP yang diperlukan untuk integrasi infrastruktur tidak bervariasi berdasarkan tuntutan skala lingkungan. Alamat IP tambahan dialokasikan sesuai dengan aturan berikut tergantung pada jenis profil beban kerja yang Anda gunakan lebih banyak alamat IP dialokasikan tergantung pada profil beban kerja lingkungan Anda:

  • Profil beban kerja yang didedikasikan: Ketika aplikasi kontainer Anda menjalani peningkatan skala, setiap simpul memiliki satu alamat IP yang ditetapkan.

  • Profil beban kerja konsumsi: Setiap alamat IP dapat dibagikan di antara beberapa replika. Saat merencanakan berapa banyak alamat IP yang diperlukan untuk aplikasi Anda, rencanakan untuk 1 alamat IP per 10 replika.

• Saat Anda membuat perubahan pada revisi dalam mode revisi tunggal, ruang alamat yang diperlukan digandakan untuk sementara waktu untuk mendukung penyebaran tanpa waktu henti. Ini memengaruhi replika atau simpul nyata yang tersedia dan didukung untuk ukuran subnet tertentu. Tabel berikut menunjukkan alamat maksimum yang tersedia per blok CIDR dan efek pada skala horizontal.

  Ukuran Subnet	Alamat IP yangTersedia 1	Node maks (Profil beban kerja khusus)2	Replika maksimum (Profil beban kerja konsumsi)2
  /23	498	249	2,490
  /24	242	121	1,210
  /25	114	57	570
  /26	50	Dua puluh lima	250
  /27	18	9	90

  ¹ Jumlah alamat IP yang tersedia adalah ukuran subnet dikurangi 14 alamat IP yang diperlukan untuk infrastruktur Azure Container Apps, termasuk 5 alamat IP yang dicadangkan oleh subnet. ² Ini mempertimbangkan aplikasi-aplikasi dalam mode revisi tunggal.

Lingkungan khusus konsumsi

• /23 adalah ukuran subnet minimum yang diperlukan untuk integrasi jaringan virtual.

• Subnet Anda TIDAK BOLEH didelegasikan ke layanan apa pun, termasuk Microsoft.App/environments.

• Aplikasi Container menjalankan fungsi runtime yang mencadangkan minimal 60 IP untuk infrastruktur di VNet Anda. Jumlah yang dipesan dapat meningkat hingga 256 alamat seiring dengan peningkatan skala aplikasi dalam lingkungan Anda.

• Saat aplikasi Anda menskalakan, alamat IP baru dialokasikan untuk setiap replika baru.

• Saat Anda membuat perubahan pada revisi dalam mode revisi tunggal, ruang alamat yang diperlukan digandakan untuk sementara waktu untuk mendukung penyebaran tanpa waktu henti. Ini memengaruhi replika nyata yang didukung yang tersedia untuk ukuran subnet tertentu.

Pembatasan rentang alamat subnet

Lingkungan profil beban kerja

Rentang alamat subnet tidak dapat tumpang tindih dengan rentang berikut yang dicadangkan oleh Azure Kubernetes Services:

• 169.254.0.0/16
• 172.30.0.0/16
• 172.31.0.0/16
• 192.0.2.0/24

Selain itu, lingkungan profil beban kerja ini mencadangkan alamat-alamat berikut:

• 100.100.0.0/17
• 100.100.128.0/19
• 100.100.160.0/19
• 100.100.192.0/19

Lingkungan khusus konsumsi

Rentang alamat subnet tidak dapat tumpang tindih dengan rentang berikut yang dicadangkan oleh Azure Kubernetes Services:

• 169.254.0.0/16
• 172.30.0.0/16
• 172.31.0.0/16
• 192.0.2.0/24

Jika Anda membuat lingkungan aplikasi kontainer dengan CIDR layanan khusus, pastikan subnet aplikasi kontainer Anda (atau subnet yang telah di-peering) tidak bertentangan dengan rentang CIDR layanan khusus Anda.

Konfigurasi subnet dengan CLI

Saat lingkungan Container Apps dibuat, Anda menyediakan ID sumber daya untuk satu subnet.

Jika Anda menggunakan CLI, parameter untuk menentukan ID sumber daya subnet adalah infrastructure-subnet-resource-id. Subnet menghosting komponen infrastruktur dan kontainer aplikasi pengguna.

Jika Anda menggunakan Azure CLI dengan lingkungan Konsumsi saja dan rentang platformReservedCidr ditentukan, kedua subnet tidak boleh tumpang tindih dengan rentang IP yang ditentukan dalam platformReservedCidr.

Integrasi Gateway NAT

Anda dapat menggunakan NAT Gateway untuk menyederhanakan konektivitas keluar untuk lalu lintas internet keluar di jaringan virtual Anda di lingkungan profil beban kerja.

Saat Anda mengonfigurasi NAT Gateway di subnet Anda, NAT Gateway menyediakan alamat IP publik statis untuk lingkungan Anda. Semua lalu lintas keluar dari aplikasi kontainer Anda dirutekan melalui alamat IP publik statis NAT Gateway.

Nota

Gateway NAT SKU V2 Standar saat ini tidak didukung untuk integrasi.

Sumber daya terkelola

Saat Anda menyebarkan lingkungan internal atau eksternal ke jaringan Anda sendiri, grup sumber daya baru dibuat di langganan Azure tempat lingkungan Anda dihosting. Grup sumber daya ini berisi komponen infrastruktur yang dikelola oleh platform Azure Container Apps. Jangan ubah layanan dalam grup ini atau grup sumber daya itu sendiri.

Nota

Tag yang ditentukan pengguna yang ditetapkan ke lingkungan Container Apps Anda direplikasi ke semua sumber daya dalam grup sumber daya, termasuk grup sumber daya itu sendiri.

Lingkungan profil beban kerja

Nama grup sumber daya yang dibuat di langganan Azure tempat lingkungan Anda dihosting diawali dengan ME_ secara default, dan nama grup sumber daya dapat disesuaikan saat Anda membuat lingkungan aplikasi kontainer Anda.

Untuk lingkungan eksternal, grup sumber daya berisi alamat IP publik yang digunakan khusus untuk konektivitas masuk ke lingkungan eksternal Anda dan load balancer. Untuk lingkungan internal, grup sumber daya hanya berisi Load Balancer.

Selain penagihan Azure Container Apps standar, Anda akan ditagih untuk:

• Satu IP publik statis standar untuk keluar jika menggunakan lingkungan internal atau eksternal, ditambah satu IP publik statis standar untuk masuk jika menggunakan lingkungan eksternal. Jika Anda memerlukan lebih banyak IP publik untuk alih keluar karena masalah SNAT, buka tiket dukungan untuk meminta pengecualian.

• Satu penyeimbang standar muatan.

• Biaya data yang diproses (dalam GB) mencakup masuk dan keluar untuk operasi manajemen.

Lingkungan hanya untuk konsumsi

Nama grup sumber daya yang dibuat di langganan Azure tempat lingkungan Anda dihosting diawali dengan MC_ secara default, dan nama grup sumber daya tidak dapat disesuaikan saat Anda membuat aplikasi kontainer. Grup sumber daya berisi alamat IP publik yang digunakan khusus untuk koneksi keluar dari lingkungan Anda dan penyeimbang beban.

Selain penagihan Azure Container Apps standar, Anda akan ditagih untuk:

• Satu IP publik statis standar untuk lalu lintas keluar. Jika Anda memerlukan lebih banyak IP untuk egress karena masalah Terjemahan Alamat Jaringan Sumber (SNAT), buka tiket dukungan untuk meminta pengecualian.

• Dua load balancer standar jika menggunakan lingkungan internal, atau satu load balancer standar jika menggunakan lingkungan eksternal. Setiap penyeimbang beban memiliki kurang dari enam aturan. Biaya data yang diproses (dalam GB) mencakup masuk dan keluar untuk operasi manajemen.

Langkah selanjutnya

Mengelola koneksi keluar dengan Azure Firewall