Azure无公网IP VM的VPN访问原理及虚拟网络架构咨询

1. VPN访问无公网IP VM的原理 #

• 无公网IP的VM只有私有IP地址，这个地址仅在它所属的Azure虚拟网络（VNet）内部有效，公网无法直接寻址到它。
• 组织部署的VPN（点到站点或站点到站点类型）在你的设备/本地网络和Azure VNet之间建立了加密通信隧道。连接VPN后，你的设备会被分配一个属于VPN专属地址池的私有IP，这个IP被纳入Azure VNet的路由体系中。
• 此时你发起的访问请求会通过加密隧道直接进入Azure VNet，VNet内部的路由能识别目标VM的私有IP并完成通信；VM的响应也会通过隧道回传，全程不经过公网。脱离VPN后，你的设备不在这个加密路由范围内，自然无法访问。

2. 组织采用的虚拟网络类型 #

就是Azure虚拟网络（Azure VNet），而且这个VNet没有给目标VM配置公网IP（或者通过网络安全组NSG限制了公网访问）。为了支持VPN访问，这个VNet肯定和本地网络通过VPN网关建立了连接，或者做了VNet对等连接（如果是多VNet场景），确保本地能访问VNet内部的私有资源。

3. 整体网络架构运作方式 #

核心组件包括：Azure VNet（含VM所在子网）、Azure VPN网关、本地VPN设备/用户端VPN客户端。运作流程如下：

• 你启动VPN客户端并完成身份验证后，本地设备与Azure VPN网关之间建立一条IPsec加密隧道。
• Azure VPN网关会向VNet推送路由规则，把来自VPN地址池的流量导向VM所在的子网；同时本地网络的路由也会设置为：访问Azure VNet私有IP段的流量都走VPN隧道。
• 当你访问VM的私有IP时，数据包通过加密隧道发送到Azure VPN网关，网关再将数据包转发到VNet内的目标VM。
• VM的响应数据包按原路返回，经过VPN网关加密后传回你的设备，全程不把VM的私有IP暴露给公网，保障了资源的安全性。

内容的提问来源于stack exchange，提问作者Santhosh