如何阻止Azure CAF通过ExpressRoute发布0.0.0.0路由

核心结论：优先在Azure端停止发布0.0.0.0路由 #

这是最优方案，原因如下：

• 从路由管控的设计逻辑看，源头控制比下游过滤更合理，能避免无效路由进入BGP会话，减少带宽占用和路由表混乱
• Azure端配置属于直接管控，不需要修改本地网络设备的现有配置，降低运维复杂度，也符合CAF强调的Azure侧边界管控原则
• 可以通过基础设施即代码（IaC）固化配置，避免后续部署误开启默认路由发布

Azure端具体操作方式 #

• ExpressRoute网关BGP配置：在ExpressRoute连接的BGP路由选择规则中，添加拒绝发布0.0.0.0/0的条目，直接阻止默认路由进入BGP会话
• CAF虚拟网络路由表：检查CAF部署的虚拟网络路由表，取消默认路由的“BGP传播”设置，确保默认路由不会被发布到ExpressRoute
• CAF模块固化：使用CAF的网络模块（如caf_networking）时，在部署参数中默认禁用默认路由的BGP发布，通过代码强制规范配置

本地侧过滤的适用场景 #

仅当Azure端无法完全管控（比如第三方部署的CAF资源，无法修改其路由配置）时，才考虑作为备选方案：

• 在本地路由器或防火墙的BGP邻居配置中，添加前缀列表，过滤掉0.0.0.0/0路由
• 但这种方式属于被动防御，会增加本地设备的配置负担，且如果Azure端路由变更（比如出现0.0.0.0/1这类变种默认路由），需要同步更新本地规则，运维成本更高

实践经验 #

• 我们在多个企业级CAF部署项目中，均采用Azure端管控方案，通过修改ExpressRoute的BGP路由规则+CAF模块参数固化的方式，彻底阻止默认路由发布
• 曾遇到过依赖本地过滤导致的问题：某企业在本地防火墙配置了0.0.0.0/0过滤，但后续Azure端因配置变更出现了0.0.0.0/1的路由，本地未及时更新规则，导致部分流量异常，切换到Azure端管控后问题彻底解决

内容的提问来源于stack exchange，提问作者Scott