ExpressRoute专用对等互连冗余VPN连接的Azure至本地流量回传及丢包问题咨询

您好，我来帮您梳理下这个场景下的流量逻辑和排查方向，帮您定位丢包问题：

先明确Azure VPN网关的流量转发逻辑 #

当您基于ExpressRoute专用对等配置了冗余VPN连接，并用BGP AS-path设置主备路由（router2为备份）时，VPN网关收到发往本地的流量后，会基于自身学习到的BGP路由表选择下一跳：

• 正常情况下，AS-path更短的路由会被优先选中（也就是您设置的主路由router1），网关只会通过主链路转发流量；只有当主链路故障时，才会切换到备份链路router2。
• 您提到NIC的有效路由显示VPN网关公IP为下一跳，这里需要先确认：ExpressRoute专用对等的路由是否被正确学习？因为Azure中ExpressRoute专用对等的路由默认优先级是10，远高于VPN路由的优先级30，如果VPN路由成为了下一跳，大概率是ExpressRoute的路由没有被正常发布/学习，或者被更具体的VPN路由覆盖了。

针对您担心的ECMP问题 #

如果VPN网关同时往两个VPN链路发流量（ECMP模式），那一定是两条路由的AS-path长度相同，导致网关无法区分主备。您可以通过以下方式验证：

• 登录Azure门户，进入VPN网关的「BGP对等体」页面，查看两个VPN连接的BGP会话状态，以及各自发布的路由是否标注为「Preferred」（主路由应该是Preferred状态）。
• 用Azure CLI命令az network vpn-gateway list-bgp-peers --resource-group <资源组名> --name <VPN网关名>查看BGP邻居的详细信息，确认AS-path的长度是否符合您的配置预期。

丢包问题的排查步骤 #

咱们可以一步步缩小问题范围：

• 检查VPN网关的监控指标：在Azure门户的VPN网关监控面板，查看「数据包丢入率」「数据包丢出率」「BGP会话状态」这几个核心指标，确认丢包是否发生在网关层面。
• 验证本地路由器的BGP配置：登录本地router1和router2，检查BGP会话是否正常建立，是否正确接收了Azure侧的路由，同时确认AS-path的配置是否确实让router1成为主路径（比如给router2的路由添加更长的AS-path）。
• 查看VPN网关的路由表：在Azure门户的VPN网关「路由表」中，找到发往本地子网的路由，查看下一跳是单个VPN连接还是两个。如果是两个，说明ECMP已触发，您需要调整AS-path配置来明确主备。
• 做 traceroute 测试：从Azure虚拟机执行tracert <本地IP>（Windows）或traceroute <本地IP>（Linux），观察丢包发生在哪个节点：
  • 如果丢包发生在VM到VPN网关之间，排查VNet内部的路由或网络安全组配置；
  • 如果丢包发生在VPN网关之后，重点排查VPN链路的稳定性或本地路由器的转发配置。

备注：内容来源于stack exchange，提问作者MatB