azure - 如何有条件地通过内部子网路由 AKS 流量？

Question

上下文:

所以我在 AKS 集群中有一个测试脚本；此脚本使用 Azure Active Directory 中的用户的单点登录功能登录到站点。

测试脚本位于集群 A 中，站点位于集群 B 中。还为集群分配了子网。并且该站点只能通过内部 VPN 访问。为此，集群 A 内部节点 IP 范围有一个防火墙异常(exception)(在这一部分中，我假设外部 IP 也有一个异常(exception)，因为连接按预期工作)。

问题:

已创建阻止外部访问的新访问策略。如果请求来自公共(public) IP，访问策略将禁止特定 AAD 用户登录此网站。

首先想到的是我必须使用内部 IP 访问该站点，而不是集群公共(public) IP。这相当于设置对站点的 VPN 访问。必须有一个 Azure 配置，允许我将流量路由到内部子网，但我也不希望群集失去 Internet 连接。对我来说最好的方案是仅当我希望测试脚本访问/测试站点时才使用内部 IP 进行连接，但我不知道该怎么做。

Answer 1

您可以指定 AKS 群集的出站类型: https://learn.microsoft.com/en-us/azure/aks/egress-outboundtype

使用用户定义的路由，您可以指定导出路径。例如。在 Azure 防火墙上，它还与 VPN/Express Route 网关连接以访问其他内部资源。 https://learn.microsoft.com/en-us/azure/aks/limit-egress-traffic#restrict-egress-traffic-using-azure-firewall