Azure: las redes virtuales nuevas ya no salen a internet por defecto

Hasta ahora, una máquina virtual en Azure sin salida configurada recibía igual una IP pública de Microsoft para salir a internet. Eso se llama acceso saliente predeterminado. Microsoft lo está retirando: en las redes virtuales nuevas, las subredes ya nacen privadas.

Qué cambia

• Con las versiones de la API publicadas después del 31 de marzo de 2026, las subredes de una red virtual nueva tienen defaultOutboundAccess en false. El portal de Azure ya las creaba así.
• Una máquina virtual en una subred privada no sale a internet ni a servicios públicos de Microsoft sin un método explícito. Eso incluye activar Windows y bajar actualizaciones.
• Las redes virtuales que ya existen no cambian, ni sus máquinas actuales ni las nuevas que se creen en ellas.
• Las plantillas viejas (ARM, Terraform) que fijan una versión anterior de la API siguen creando subredes con el comportamiento anterior.

Desde cuándo

Desde el 31 de marzo de 2026. Microsoft había anunciado primero el 30 de septiembre de 2025 y lo corrió.

A quién le toca

• A quien crea redes virtuales nuevas en Azure, a mano o con infraestructura como código.
• A quien depende de la IP saliente predeterminada, que es de Microsoft y puede cambiar sin aviso.

Qué hacer

1. En Azure Advisor, busca la recomendación de agregar un método de salida explícito: lista las máquinas que hoy usan la salida predeterminada.
2. Elige la salida: NAT Gateway en la subred (la opción que Microsoft recomienda en la mayoría de los casos), reglas de salida en un balanceador estándar, una IP pública estándar en la máquina o un firewall con rutas definidas.
3. Configura esa salida antes de pasar una subred existente a privada. Las máquinas tienen que detenerse y desasignarse para que el cambio aplique.
4. Revisa tus plantillas y módulos de Terraform: decide la salida de cada subred en vez de heredar el valor por defecto.

Revisemos la salida a internet de tu red en Azure.

Fuente de Microsoft:

• https://learn.microsoft.com/azure/virtual-network/ip-services/default-outbound-access