Uitgaande regels voor Azure Load Balancer

Met uitgaande regels kunt u SNAT(bronnetwerkadresomzetting) expliciet definiëren voor een openbare standaard load balancer. Met deze configuratie kunt u de openbare IP-adressen van uw load balancer gebruiken om uitgaande internetverbinding te bieden voor uw back-endinstanties.

Deze configuratie maakt het volgende mogelijk:

  • IP-maskering
  • Het vereenvoudigen van uw acceptatielijsten.
  • Vermindert het aantal openbare IP-resources voor implementatie.

Met regels voor uitgaand verkeer hebt u volledige declaratieve controle over uitgaande internetconnectiviteit. Met uitgaande regels kunt u deze mogelijkheid schalen en afstemmen op uw specifieke behoeften.

Uitgaande regels worden alleen toegepast als de back-end-VM geen openbaar IP-adres op instantieniveau (ILPIP) heeft.

Notitie

Voor schaalbare uitgaande connectiviteit en om het risico op SNAT-portuitputting te verkleinen, gebruik Azure NAT Gateway. Alternatieven zijn onder andere uitgaande regels van Load Balancer en openbare IP-adressen op instantieniveau.

Schermopname van de configuratie van SNAT-poorten op virtuele machines met uitgaande load balancer-regels.

Met uitgaande regels kunt u expliciet uitgaand SNAT-gedrag definiëren.

Met uitgaande regels kunt u het volgende controleren:

  • Welke virtuele machines worden vertaald naar welke openbare IP-adressen.
    • Twee regels waarbij back-endpool 1 zowel blauwe IP-adressen gebruikt als back-endpool 2 het gele IP-voorvoegsel gebruikt.
  • Hoe uitgaande SNAT-poorten worden toegewezen.
    • Als back-endpool 2 de enige pool is die uitgaande verbindingen maakt, geeft u alle SNAT-poorten aan back-endpool 2 en geen aan back-endpool 1.
  • Voor welke protocollen uitgaande vertaling moet worden geboden.
    • Als back-endpool 2 UDP-poorten nodig heeft voor uitgaand verkeer en back-endpool 1 TCP nodig heeft, geeft u TCP-poorten aan 1 en UDP-poorten op 2.
  • Welke duur moet worden gebruikt voor time-out voor inactiviteit voor uitgaande verbindingen (4-120 minuten).
    • Als er langdurige verbindingen zijn met keepalives, reserveert u niet-actieve poorten voor langdurige verbindingen tot maximaal 120 minuten. Ga ervan uit dat verlopen verbindingen als opgegeven worden beschouwd en dat poorten binnen 4 minuten worden vrijgegeven voor nieuwe verbindingen.
  • Of een TCP-reset moet worden verzonden bij time-out voor inactiviteit.
    • Wanneer er een time-out optreedt voor niet-actieve verbindingen, verzenden we een TCP RST naar de client en server zodat ze weten dat de stroom wordt afgelaten?

Belangrijk

Wanneer een back-endpool is geconfigureerd met een IP-adres, gedraagt deze zich als een Basic-Load Balancer waarvoor standaard uitgaand verkeer is ingeschakeld. Voor een veilige standaardconfiguratie en toepassingen met veeleisende uitgaande behoeften configureert u de back-endpool per NIC.

Definiëring van uitgaanderegel

Outbound regels gebruiken dezelfde syntaxis als load balancing en inbound NAT-regels: frontend, parameters en backend pool.

Een uitgaande regel stelt uitgaande NAT op voor alle virtuele machines in de backendpool, waarbij hun verkeer wordt vertaald naar de frontend. De parameters geven je gedetailleerde controle over het uitgaande NAT-algoritme.

De parameters bieden nauwkeurige controle over het uitgaande NAT-algoritme.

Schaal uitgaande NAT met meerdere IP-adressen

Elk extra IP-adres op een frontend geeft de load balancer nog eens 64.000 tijdelijke poorten om als SNAT-poorten te gebruiken. De load balancer gebruikt IP's gebaseerd op de beschikbare poorten. Het verplaatst zich naar het volgende IP wanneer het huidige IP geen meer verbindingen aankan.

Gebruik meerdere IP-adressen om grootschalige scenario's te plannen. Gebruik uitgaande regels om SNAT-uitputting te beperken, zoals beschreven in Ondersteuning en probleemoplossing voor Azure Load Balancer.

U kunt ook rechtstreeks een openbaar IP-voorvoegsel gebruiken met een uitgaande regel.

Een publieke IP-prefix verhoogt de schaalbaarheid van je deployment. Voeg het prefix toe aan de toestaanlijst van flows die afkomstig zijn van je Azure-bronnen. Je kunt een frontend IP-configuratie instellen in de load balancer om een publieke IP-adresprefix te refereren.

De load balancer beheert het publieke IP-prefix. De uitgaande regel gebruikt automatisch andere publieke IP-adressen in het voorvoegsel wanneer het huidige IP geen meer uitgaande verbindingen kan maken.

Elk van de IP-adressen binnen het openbare IP-voorvoegsel biedt extra 64.000 tijdelijke poorten per IP-adres voor load balancer die als SNAT-poorten kunnen worden gebruikt.

Time-out voor inactiviteit van uitgaande stroom en TCP opnieuw instellen

Outbound-regels bevatten een parameter om de outbound flow idle timeout te regelen, zodat je deze kunt afstemmen op de behoeften van je applicatie. Time-outs voor inactiviteit voor uitgaand verkeer zijn standaard ingesteld op 4 minuten. Zie Time-outs voor inactiviteit configureren voor meer informatie.

Standaard laat de load balancer de stroom stilletjes vallen wanneer de uitgaande idle-timeout is bereikt. De enableTCPReset parameter geeft je voorspelbaar applicatiegedrag en controle. Deze parameter bepaalt of een bidirectionele TCP Reset (TCP RST) wordt verzonden wanneer de uitgaande idle timeout optreedt.

Controleer TCP Reset bij time-out van inactiviteit voor details, inclusief beschikbaarheid in regio's.

Uitgaande connectiviteit expliciet beveiligen en beheren

Taakverdelingsregels zorgen voor automatische configuratie van uitgaande NAT. Sommige scenario's zijn van belang of vereisen dat u het automatisch programmeren van uitgaande NAT uitschakelt door de taakverdelingsregel. Door via de regel uit te schakelen, kunt u het gedrag beheren of verfijnen.

U kunt deze parameter op twee manieren gebruiken:

  • Preventie van het binnenkomende IP-adres voor uitgaande SNAT. Schakel uitgaande SNAT uit in de taakverdelingsregel.

  • Stem de uitgaande SNAT-parameters af van een IP-adres dat tegelijkertijd wordt gebruikt voor inkomend en uitgaand verkeer. De automatische uitgaande NAT moet worden uitgeschakeld om een uitgaande regel de controle te laten overnemen. Als u de SNAT-poorttoewijzing wilt wijzigen van een adres dat ook wordt gebruikt voor inkomend verkeer, moet de disableOutboundSnat parameter worden ingesteld op true.

De bewerking voor het configureren van een uitgaande regel mislukt als u probeert een IP-adres opnieuw te definiëren dat wordt gebruikt voor binnenkomend verkeer. Schakel eerst de uitgaande NAT van de taakverdelingsregel uit.

Belangrijk

Uw virtuele machine zal geen uitgaande connectiviteit hebben als u deze parameter op 'true' instelt en geen uitgaande regel hebt om de connectiviteit te definiëren. Sommige bewerkingen van uw VIRTUELE machine of uw toepassing kunnen afhankelijk zijn van uitgaande connectiviteit. Zorg ervoor dat u de afhankelijkheden van uw scenario begrijpt en de impact van het aanbrengen van deze wijziging hebt overwogen.

Soms is het niet wenselijk dat een virtuele machine een uitgaande stroom maakt. Er is mogelijk een vereiste om te beheren welke bestemmingen uitgaande stromen ontvangen of welke bestemmingen beginnen met inkomende stromen. Gebruik netwerkbeveiligingsgroepen om de bestemmingen te beheren die de VIRTUELE machine bereikt. Gebruik NSG's om te beheren welke openbare bestemmingen binnenkomende stromen starten.

Wanneer u een NSG toepast op een vm met gelijke taakverdeling, moet u rekening houden met de servicetags en standaardbeveiligingsregels.

Zorg ervoor dat de VM statustestaanvragen van Azure Load Balancer kan ontvangen.

Als een NSG statustestaanvragen van de AZURE_LOADBALANCER standaardtag blokkeert, mislukt uw VM-statustest en is de VM gemarkeerd als niet beschikbaar. De load balancer stopt met het verzenden van nieuwe stromen naar die VM.

Scenario's voor uitgaande regels van Azure Load Balancer

Scenario 1: Uitgaande verbindingen met een specifieke set openbare IP-adressen of voorvoegsel configureren

Gebruik dit scenario om uitgaande verbindingen af te stemmen op basis van een set openbare IP-adressen. Voeg openbare IP-adressen of voorvoegsels toe aan een acceptatie- of blokkeringslijst op basis van oorsprong.

Dit openbare IP-adres of voorvoegsel kan hetzelfde zijn als dat gebruikt door een load-balancing regel.

Een ander openbaar IP-adres of voorvoegsel gebruiken dan wat wordt gebruikt door een taakverdelingsregel:

  1. Maak een openbaar IP-voorvoegsel of openbaar IP-adres.
  2. Een openbare standard load balancer maken
  3. Maak een front-end die verwijst naar het openbare IP-voorvoegsel of het openbare IP-adres dat u wilt gebruiken.
  4. Een back-endpool opnieuw gebruiken of een back-endpool maken en de VM's in een back-endpool van de openbare load balancer plaatsen
  5. Configureer een uitgaande regel op de public load balancer om uitgaande NAT in te schakelen voor de VM's met gebruik van de frontend. Het wordt niet aanbevolen om een taakverdelingsregel te gebruiken voor uitgaand verkeer. Schakel uitgaande SNAT uit op de taakverdelingsregel.

Scenario 2: SNAT-poorttoewijzing wijzigen

U kunt uitgaande regels gebruiken om de automatische SNAT-poorttoewijzing af te stemmen op basis van de grootte van de back-endpool.

Als u SNAT-uitputting ondervindt, verhoogt u het aantal SNAT-poorten dat is opgegeven vanaf de standaardwaarde van 1024.

Elk openbaar IP-adres draagt bij tot 64.000 tijdelijke poorten. Het aantal virtuele machines in de back-endpool bepaalt het aantal poorten dat naar elke VIRTUELE machine wordt gedistribueerd. Eén VM in de back-endpool heeft toegang tot maximaal 64.000 poorten. Voor twee VM's kunnen maximaal 32.000 SNAT-poorten worden opgegeven met een uitgaande regel (2x 32.000 = 64.000).

U kunt uitgaande regels gebruiken om de SNAT-poorten die standaard gegeven zijn af te stemmen. U geeft meer of minder dan de standaard SNAT-poort-toewijzing biedt. Elk openbaar IP-adres van een front-end van een uitgaande regel draagt bij tot 64.000 tijdelijke poorten voor gebruik als SNAT-poorten .

Load balancer biedt SNAT-poorten in veelvouden van 8. Als u een waarde opgeeft die niet deelbaar is door 8, wordt de configuratiebewerking geweigerd. Elke taakverdelingsregel en binnenkomende NAT-regel verbruiken een bereik van acht poorten. Als een taakverdeling of binnenkomende NAT-regel hetzelfde bereik van 8 als een andere deelt, worden er geen extra poorten gebruikt.

Als u meer SNAT-poorten probeert uit te geven dan beschikbaar is (op basis van het aantal openbare IP-adressen), wordt de configuratiebewerking geweigerd. Als u bijvoorbeeld 10.000 poorten per VM en zeven VM's in een back-endpool één openbaar IP-adres deelt, wordt de configuratie geweigerd. Zeven vermenigvuldigd met 10.000 overschrijdt de poortlimiet van 64.000. Voeg meer openbare IP-adressen toe aan de front-end van de uitgaande regel om het scenario in te schakelen.

Ga terug naar de standaardpoorttoewijzing door 0 op te geven voor het aantal poorten. Zie de toewijzingstabel voor SNAT-poorten voor meer informatie over standaardtoewijzing van SNAT-poorten.

Scenario 3: Alleen uitgaand verkeer inschakelen

Gebruik een openbare standard load balancer om uitgaande NAT te bieden voor een groep virtuele machines. In dit scenario gebruikt u zelf een uitgaande regel zonder dat u extra regels hoeft te configureren.

Notitie

Azure NAT Gateway kan uitgaande connectiviteit bieden voor virtuele machines zonder dat hiervoor een load balancer nodig is. Zie Wat is Azure NAT Gateway? voor meer informatie.

Scenario 4: Alleen uitgaande NAT voor VM's (geen inkomend)

Notitie

Azure NAT Gateway kan uitgaande connectiviteit bieden voor virtuele machines zonder dat hiervoor een load balancer nodig is. Zie Wat is Azure NAT Gateway? voor meer informatie.

Voor dit scenario zijn Azure Load Balancer-uitgaande regels en Virtual Network NAT opties die beschikbaar zijn voor egress vanaf een virtueel netwerk.

  1. Maak een openbaar IP-adres of voorvoegsel.
  2. Maak een openbare standaard load balancer.
  3. Maak een front-end die is gekoppeld aan het openbare IP-adres of voorvoegsel dat is toegewezen voor uitgaand verkeer.
  4. Maak een back-endpool voor de VM's.
  5. Plaats de VMs in de back-end pool.
  6. Configureer een uitgaande regel om uitgaande NAT in te schakelen.

Gebruik een voorvoegsel of een openbaar IP-adres om SNAT-poorten te schalen. Voeg de bron van uitgaande verbindingen toe aan een acceptatie- of blokkeringslijst.

Scenario 5: Uitgaande NAT voor interne standard load balancer

Notitie

Azure NAT Gateway kan uitgaande connectiviteit bieden voor virtuele machines die gebruikmaken van een interne standaard load balancer. Zie Wat is Azure NAT Gateway? voor meer informatie.

Een interne Standard Load Balancer heeft pas uitgaande connectiviteit wanneer je deze expliciet inschakelt via openbare IP-adressen op instantieniveau of Virtual Network NAT, of door de leden van de back-endpool te koppelen aan een configuratie van een load balancer die alleen uitgaand verkeer verwerkt.

Zie de configuratie van een load balancer met alleen uitgaand verkeer voor meer informatie.

Scenario 6: Schakel zowel TCP- als UDP-protocollen in voor uitgaande NAT met een openbare standaard load balancer

Door gebruik te maken van een openbare standaard load balancer, komt de automatische uitgaande NAT overeen met het transportprotocol van de load-balanceringsregel.

  1. Schakel uitgaande SNAT uit op de taakverdelingsregel.
  2. Stel een uitgaande regel in op dezelfde load balancer.
  3. Gebruik de back-endpool die al door uw VM's wordt gebruikt.
  4. Geef protocol op: 'Alles' als onderdeel van de uitgaande regel.

Wanneer je alleen inkomende NAT-regels gebruikt, wordt er geen uitgaande NAT verstrekt.

  1. Plaats VM's in een backendpool.
  2. Definieer één of meer frontend IP-configuraties met publieke IP-adressen of een publieke IP-prefix.
  3. Stel een uitgaande regel in op dezelfde load balancer.
  4. Geef 'protocol' op: 'Alle' als onderdeel van de uitgaande regel

Beperkingen van uitgaande regels van Azure Load Balancer

  • Het maximum aantal bruikbare tijdelijke poorten per front-end-IP-adres is 64.000.
  • Het bereik van de configureerbare time-out voor inactiviteit voor uitgaand verkeer is 4 tot 120 minuten (240 tot 7200 seconden).
  • Load balancer biedt geen ondersteuning voor ICMP voor uitgaande NAT, de enige ondersteunde protocollen zijn TCP en UDP.
  • Uitgaande regels kunnen alleen worden toegepast op de primaire IPv4-configuratie van een NIC. U kunt geen uitgaande regel maken voor de secundaire IPv4-configuraties van een virtuele machine of NVA. Meerdere NIC's worden ondersteund.
  • Uitgaande regels voor de secundaire IP-configuratie worden alleen ondersteund voor IPv6.
  • Alle virtuele machines in een beschikbaarheidsset moeten worden toegevoegd aan de back-endpool voor uitgaande connectiviteit.
  • Alle virtuele machines in een virtuele-machineschaalset moeten worden toegevoegd aan de back-endpool voor uitgaande connectiviteit.

Volgende stappen

  • Last updated on