Azure无路由表配置默认路由：Hub-Spoke网络流量引导咨询

方案1：Azure Firewall Manager 安全虚拟中心 + 路由意图 #

这是最简洁的原生方案，无需手动管理任何Spoke路由表：

1. 将你的Hub VNET转换为安全虚拟中心（Secure Hub），并在其中部署Azure防火墙。
2. 通过Firewall Manager将所有Spoke VNET与安全虚拟中心建立关联（本质是自动配置对等连接）。
3. 配置路由意图（Routing Intent），指定“互联网流量”路由目标为Azure防火墙。此配置会自动将0.0.0.0/0默认路由推送到所有关联的Spoke VNET，覆盖Spoke原本的直连互联网路由，所有Spoke子网的流量会自动经Hub防火墙转发。

方案2：虚拟网络对等连接的路由传播 + Hub强制隧道 #

如果不想用Firewall Manager，可通过网关传播路由实现：

1. 在Hub VNET部署Azure防火墙，同时部署一个虚拟网络网关（无需配置VPN/ExpressRoute，仅作为路由传播的载体）。
2. 创建Hub侧的路由表，添加0.0.0.0/0指向Azure防火墙的规则，并开启路由表的**“路由传播”**功能，允许网关路由传播到关联的Hub子网。
3. 建立Spoke与Hub的虚拟网络对等连接：
   • Hub侧勾选**“允许网关路由（Allow gateway transit）”**
   • Spoke侧勾选**“使用远程网关（Use remote gateway）”**
     完成后，Hub的默认路由会自动传播到Spoke的所有子网，无需给Spoke子网绑定任何路由表。

验证与注意事项 #

• 确保Spoke子网没有关联自定义路由表，否则自定义路由会优先于传播过来的路由。
• 验证流量路径：在Spoke虚拟机执行tracert 8.8.8.8，确认第一个跳转节点是Azure防火墙的私有IP。
• 方案2中的虚拟网络网关是必需组件，即使不用于外部连接，它负责将Hub的路由传播到Spoke。

内容的提问来源于stack exchange，提问作者Duke Yu