azure - 有关 Azure 虚拟网络上转发流量的问题

Question

我在 Azure 云平台中遇到了一个路由问题，正在努力解决该问题，涉及需要通过另一个 vnet 和两个 VPN 隧道从一个 vnet 路由到另一个 vnet 的流量。

以下是设置说明:我确实有两个 Azure 虚拟网络(VNET1 和 VNET2)，每个网络都有自己的基于路由的 Azure VPN 网关和一个第三方虚拟网络 (VNET3)，该网络通过 IPsec VPN 隧道连接到第一个 Azure 虚拟网络 VNTE1。以下是所有 3 个虚拟网络的地址空间。

• VNET1 10.20.0.0/16(Azure vnet)
• VNET2 10.30.0.0/16(Azure vnet)
• VNET3 10.0.0.0/12(第 3 方 vnet)

这是我能做的:

• VNET1 通过 IPsec VPN 隧道与 VNET3 连接。因此，我可以从 VNET1 10.20.10.5 中的虚拟机对 VNET3 10.0.0.1 中的虚拟机执行 ping 操作，并且它们也可以对我执行 ping 操作。
• VNET1 通过 IPsec VPN 隧道与 VNET2 连接。因此，我能够从 VNET1 10.20.10.5 中的虚拟机 ping VNET2 10.30.10.5 中的虚拟机

这是我不能做的:

• 我无法从 VNET2 10.30.10.5 中的虚拟机 ping VNET3 10.0.0.1 中的虚拟机。

这是我尝试解决该问题的方法，但到目前为止没有成功:

• 我的假设是网络 VNET2 不知道如何将流量路由到网络 VNET3。因此，我创建了一个 Azure 路由表，并将该路由表分配给子网 10.30.10.0/24，并创建了一条规则:所有到网络 10.0.0.0/12 的流量都应路由到 VNTE2 的 VPN Gateway。我的期望是，一旦流量到达 GW，它将到达 VNET1，VNET1 知道如何将其路由到 VNET3。这不起作用。
• 虽然我认为不需要，因为 VNET1 已经知道如何将流量路由到 VNET3，但我还为 10.0.0.0/12 创建了一个类似于上面的路由表。这也没有帮助。

我是否错过了某个地方的路线，如果是的话，是哪条规则以及在哪里？或者我是否需要有一个虚拟机充当路由器？ (我希望不会)

Answer 1

我认为您的问题是 Azure 虚拟网关的限制:

The on-premises networks connecting through policy-based VPN devices with this mechanism can only connect to the Azure virtual network; they cannot transit to other on-premises networks or virtual networks via the same Azure VPN gateway.

https://learn.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-connect-multiple-policybased-rm-ps

因此，即使您使用相同的 VPN 网关连接 VNET 3 和 VNET 2，根据设计，VNET 3 和 VNET 2 也无法通信。

要解决此问题，我建议使用对等互连。您的配置类似于经典的 Hub-Spoke 拓扑。您的 VNET1 是集线器，VNET2 是辐条，VNET3 是一种“本地”。

无需更改 VNET1 和 VNET3 之间的配置。您需要在 VNET1 和 VNET2 之间建立对等互连并应用以下配置:

• Configure the peering connection in the hub to allow gateway transit.
• Configure the peering connection in each spoke to use remote gateways.
• Configure all peering connections to allow forwarded traffic.

https://learn.microsoft.com/en-us/azure/architecture/reference-architectures/hybrid-networking/hub-spoke

在这种情况下，VNET3 将能够与集线器 (VNET1) 和所有辐条(VNET2 以及连接到 VNET1 的任何其他辐条)进行通信。当隧道启动时，VNET2 可以与 HUB (VNET1) 和本地 (VNET3) 通信。

警告:如果 HUB 中没有转发网关，辐条将无法在彼此之间进行通信，即，如果您添加 VNET4 并与 VNET1 进行对等互连，VNET4 将无法 ping VNET2 中的虚拟机。但他们可以与 HUB 和本地通信，无需任何其他设备。