ExpressRoute线路迁移中路由服务器处理问题咨询

可行性确认 #

该方案完全可行，核心是通过VNET peering让测试VNET复用生产Hub的Azure路由服务器（ARS）和防火墙路由链，具体配置要点：

• 确保测试VNET与生产Hub VNET地址空间无重叠（这是VNET peering的硬性要求）。
• 建立peering时需配置双向关键参数：
  • 生产Hub侧：开启「允许网关传输」（Allow gateway transit），允许测试VNET使用Hub的ARS；同时开启「允许转发到远程虚拟网络」（Allow forwarded traffic），让测试VNET流量能流经Hub的防火墙。
  • 测试VNET侧：开启「使用远程网关」（Use remote gateway），将Hub的ARS作为自身的路由出口；同时开启「允许转发到远程虚拟网络」，接收Hub侧传播的ER BGP路由。

完成配置后，生产Hub的ARS会将新ER线路的BGP路由自动传播到测试VNET，测试VNET的流量也会通过Hub的防火墙转发到新ER线路，满足连通性验证需求。

主要配置风险 #

1. 地址空间冲突：若测试VNET与Hub或已对等的其他Spoke VNET地址重叠，peering将无法创建，需提前核对地址段。
2. 路由泄露风险：Hub侧的ER路由会同步到测试VNET，测试VNET的本地路由也会传入Hub。若测试VNET存在其他网关（如VPN、互联网网关），可能导致生产Hub的路由表混乱——建议提前关闭测试VNET的所有非必要网关。
3. 生产业务影响：测试流量会占用Hub的网络带宽和防火墙资源，需选择低峰时段开展测试，并限制测试流量规模，避免影响生产业务。
4. 防火墙规则适配：虽然无需修改防火墙配置，但需确认现有防火墙规则是否允许测试VNET地址段的流量通过ER线路。若原有规则仅针对生产地址段，可能需要临时调整（若严格禁止修改防火墙，需提前确保测试VNET地址已被包含在现有允许规则内）。
5. 非对称路由：若测试VNET保留互联网网关，可能出现流量外出走ER、返回走互联网的非对称路径，导致连接中断——测试期间需关闭测试VNET的互联网网关。

快速验证步骤 #

1. 核对测试VNET与生产Hub的地址空间，确保无重叠。
2. 创建并配置VNET peering（按上述参数设置）。
3. 在测试VNET的虚拟机上执行Get-AzEffectiveRouteTable -ResourceGroupName <测试RG名> -NetworkInterfaceName <测试VM网卡名>，验证是否已收到新ER线路的路由条目。
4. 发起连通性测试（如ping、telnet到本地侧测试节点），同时检查防火墙日志确认流量是否正常通过。
5. 测试完成后，立即删除该VNET peering，消除长期路由风险。

内容的提问来源于stack exchange，提问作者Gabriel Kelly