如何让日本VNet的Windows Server 2022 VM经VNet peering与RRAS路由互联网流量至美东VNet

核心问题分析 #

你之前遇到的断连问题，本质是两个关键点没处理好：一是RRAS VM没正确开启IP转发和NAT配置，二是路由表设置没兼顾回程流量；另外Azure VM的网卡网关本来就不能设置跨VNet的IP，这个方法本身就行不通。

分步解决方案 #

1. 配置RRAS VM的Azure基础参数 #

• 登录Azure门户，找到美东的RRAS VM，进入它的网络接口设置，把IP转发开关打开——这是流量转发的基础，没开的话RRAS根本没法处理跨VNet的流量。
• 确认RRAS VM有带公网IP的网卡，并且该网卡能正常访问互联网（自行ping公网地址验证）。

2. 配置RRAS服务器的NAT规则 #

在美东的RRAS VM上操作：

• 打开「路由和远程访问」控制台，确保已启用NAT服务。
• 找到NAT的内部接口，将日本VNet的子网地址范围添加进去（比如日本VNet是10.1.0.0/16，就把这个网段设为内部允许的来源）。
• 将绑定公网IP的网卡设为NAT的外部接口，确保规则允许内部子网的流量通过该接口转发出互联网。

3. 修正日本VNet子网的路由表 #

• 给日本VM所在的子网绑定自定义路由表，添加两条路由：
  • 目标地址0.0.0.0/0，下一跳类型选虚拟设备，地址填美东RRAS VM的私有IP（比如10.0.1.4）
  • 目标地址填美东VNet的地址空间（比如10.0.0.0/16），下一跳类型选VNet对等连接——这条是保证VNet间的流量直接走对等通道，不用绕RRAS
• 注意：不要删除Azure自动生成的对等连接系统路由，自定义路由优先级更高，仅覆盖0.0.0.0/0的默认互联网路由即可。

4. 解决SNAT冲突与回程路由问题 #

• Azure默认会给VM做出站SNAT，这会和RRAS的NAT规则冲突，所以要在RRAS VM的公网网卡上禁用出站SNAT（使用标准公网IP的话支持该配置）。
• 验证回程连通性：在RRAS VM上ping日本VM的私有IP，确保能通；在日本VM上ping 8.8.8.8，同时在RRAS VM上抓包，确认流量到达RRAS后被正常NAT转发。

排查要点 #

如果配置后仍无法访问互联网，按以下步骤检查：

• 确认RRAS VM的IP转发已开启，NAT规则确实包含了日本VNet的子网。
• 检查日本子网的路由表，确认0.0.0.0/0的下一跳是RRAS VM的正确私有IP。
• 检查RRAS VM的本地防火墙，是否允许日本VNet子网的入站流量（包括ICMP、常用TCP/UDP端口）。
• 确认美东VNet的NSG允许RRAS VM的公网网卡出站访问互联网，同时允许日本VNet的流量进入RRAS VM。

内容的提问来源于stack exchange，提问作者Magoogle