AKS NAT Gateway StandardV2 GA: Egress über 3 Zonen

TL;DR

Der AKS NAT Gateway in der Variante StandardV2 ist seit dem 8. Oktober 2026 allgemein verfügbar. Neue AKS-Cluster mit Outbound-Typ managedNATGateway bekommen ihn automatisch: zonenredundant, bis 100 Gbit/s, mit IPv6, zum selben Preis wie Standard. Bestehende Cluster bleiben auf Standard, bis Sie migrieren. Dabei ändert sich die Egress-IP.

Was hat Microsoft geändert?

Microsoft macht StandardV2 zum Standard für den von AKS verwalteten NAT Gateway. Laut Azure-Update vom 08.10.2026 provisioniert AKS diesen Gateway für Cluster im AKS-verwalteten VNet. Grundlage ist die API-Version 2026-06-01; ältere API-Versionen behalten das bisherige Verhalten mit Standard-SKU.

Die Unterschiede laut NAT-Gateway-Übersicht und AKS-Doku, Stand 09.10.2026:

Merkmal	Standard	StandardV2
Zonen	eine Availability Zone	zonenredundant über alle Zonen
Durchsatz pro Gateway	bis 50 Gbit/s	bis 100 Gbit/s
Ausgehende IPs	bis 16 IPv4	bis 16 IPv4 und 16 IPv6
Flow Logs	nein	ja (3,5199 € pro Monat)
Default für neue AKS-Cluster	nur bei expliziter Wahl	ja, wo verfügbar
Public-IP-SKU	Standard	nur StandardV2
Preis Gateway	0,0396 € pro Stunde	0,0396 € pro Stunde

Pro öffentlicher IP sind bis zu 64.512 ausgehende TCP- und UDP-Flows möglich. Während der Preview hieß der Outbound-Typ managedNATGatewayV2; die Preview-APIs akzeptieren ihn noch rund ein Jahr.

Was kostet der NAT Gateway in Germany West Central?

Standard und StandardV2 kosten dasselbe. Die Azure Retail Prices API nennt am 09.10.2026 für den NAT Gateway 0,0396 € pro Stunde und 0,0396 € pro verarbeitetem GB, netto, als globalen Listenpreis. Bei 730 Stunden ergibt das 28,91 € pro Monat für den Gateway, plus 39,60 € je 1.000 GB Datenvolumen.

Dazu kommen die öffentlichen IPs. Eine Standard IPv4 Static Public IP kostet in Germany West Central 0,0044 € pro Stunde. Einen eigenen Preis für StandardV2-IPs liefert die API am Stichtag nicht (k. A.). Der Load Balancer für Kubernetes-Services vom Typ LoadBalancer bleibt bei Standard-IPs, Sie planen also beide SKUs ein. Die Cluster-Gebühr von AKS selbst ändert sich nicht, siehe AKS-Profil.

Was bedeutet das für Teams in Deutschland?

Germany West Central in Frankfurt steht nicht auf der Liste der Regionen ohne StandardV2; ausgeschlossen sind nur Canada East, India South Central, Sweden South und West India. Neue Cluster in Frankfurt erhalten damit einen Egress-Pfad, der den Ausfall einer Zone übersteht. Mit Standard hing der ausgehende Verkehr an einer einzigen Zone.

Das schließt eine Lücke in zonenredundanten AKS-Architekturen: Nodes über drei Zonen verteilen nützt wenig, wenn der Egress in einer Zone hängt. Für Compliance-Diskussionen nach DSGVO oder BSI C5 ändert sich nichts; Microsoft bleibt ein US-Konzern mit CLOUD-Act-Exposition. Wie europäische Anbieter Egress und Preise handhaben, zeigt der Kostenvergleich. Den Hyperscaler-Gegenpol mit Region Frankfurt beschreibt das Profil Google GKE. Wer AKS ganz ohne Cloud-Egress auf eigener Hardware testen will, findet die Ubuntu-Preview unter AKS auf Bare Metal. Wer den Egress gar nicht in Azure halten will und Cluster auf eigener Virtualisierung betreibt, findet die Wege unter Kubernetes auf Proxmox. Wenn der Cluster samt NAT-Gateway für wenige Dienste überdimensioniert ist, steht die Abgrenzung in Docker Swarm vs Kubernetes. Ob OpenShift oder Rancher besser zu einer AKS-Landschaft passt, steht im Vergleich OpenShift vs Rancher vs Kubernetes. Wer den Schlüssel für AKS-Disks außerhalb von Microsoft halten will, findet den Stand unter Azure Managed HSM mit externen Schlüsseln.

Was sollten Sie jetzt tun?

Prüfen Sie zuerst, welchen Outbound-Typ Ihre Cluster nutzen, und planen Sie eine Migration wie einen Change mit Wartungsfenster. Die Outbound-Doku warnt: Der Wechsel unterbricht bestehende Verbindungen und ändert die Egress-IP.

az aks show -g <resource-group> -n <cluster> \
  --query "networkProfile.{outbound:outboundType, nat:natGatewayProfile}" -o json

1. Freigaben bei Partnern, Firewalls und SaaS-APIs erfassen, die auf Ihre aktuelle Egress-IP lauten.
2. Bei aktivierten Authorized IP Ranges des API-Servers den neuen IP-Bereich vorab eintragen.
3. Für Standard-Cluster networkProfile.natGatewayProfile.sku auf StandardV2 setzen. Zurück auf Standard geht nicht.
4. Bei loadBalancer den Wechsel auf managedNATGateway gut abwägen: Der Rückweg zu loadBalancer ist im AKS-verwalteten VNet nicht unterstützt.
5. Eigene VNets (BYO) mit userAssignedNATGateway können einen StandardV2-Gateway mit StandardV2-IPs selbst anlegen und am Subnetz hinterlegen.

Für Cluster mit Dual-Stack beachten Sie einen bekannten Fehler: IPv6-Verkehr über Load-Balancer-Outbound-Regeln bricht ab, sobald ein StandardV2 NAT Gateway am Subnetz hängt.

FAQ

Kostet StandardV2 mehr als der bisherige NAT Gateway?

Nein. Microsoft berechnet für beide SKUs dieselben Sätze, am 09.10.2026 0,0396 € pro Stunde und 0,0396 € pro GB netto. Zusatzkosten entstehen nur, wenn Sie Flow Logs aktivieren (3,5199 € pro Monat) und für die öffentlichen IP-Adressen.

Werden bestehende AKS-Cluster automatisch umgestellt?

Nein. Bestehende Cluster mit Standard NAT Gateway behalten ihre Ressource. Den Wechsel stoßen Sie selbst an, indem Sie die SKU auf StandardV2 setzen. Dabei ändert sich die ausgehende IP-Adresse.

NAT Gateway oder Load Balancer für AKS-Egress?

Der Load Balancer ist der AKS-Default, teilt SNAT-Ports aber knapper zu. Der NAT Gateway bietet bis zu 64.512 Flows pro IP und mit StandardV2 Zonenredundanz. Wer viele ausgehende Verbindungen hat, etwa zu externen APIs, fährt mit dem NAT Gateway stabiler.

Ist StandardV2 in Germany North verfügbar?

Germany North steht nicht auf Microsofts Liste der nicht unterstützten Regionen. Die Region ist gemäß unserem AKS-Profil aber nur eingeschränkt zugänglich. Für die meisten Teams bleibt Germany West Central in Frankfurt die relevante Region.

Quellen

• Azure Updates: Managed StandardV2 NAT Gateway for AKS, 08.10.2026
• Microsoft Learn: NAT Gateway für AKS
• Microsoft Learn: Outbound-Typen in AKS
• Microsoft Learn: Azure NAT Gateway Übersicht
• Azure Retail Prices API, abgerufen 09.10.2026

Quellen

1. Azure Updates: Generally Available: Managed StandardV2 NAT Gateway for AKS (08.10.2026) (abgerufen 9. Oktober 2026)
2. Microsoft Learn: Create a managed or user-assigned NAT gateway for your AKS cluster (abgerufen 9. Oktober 2026)
3. Microsoft Learn: Customize cluster egress with outbound types in AKS (abgerufen 9. Oktober 2026)
4. Microsoft Learn: What is Azure NAT Gateway? (abgerufen 9. Oktober 2026)
5. Azure Retail Prices API (NAT Gateway, Public IP, EUR) (abgerufen 9. Oktober 2026)