配置Azure VPN Client后公网IP未变更，如何实现统一出站IP？

问题根源 #

默认Azure点到站点VPN采用拆分隧道模式，仅访问虚拟网络内资源的流量走VPN链路，其余公网流量仍通过本地网络出站，因此客户端公网IP不会变化。

实现统一出站IP的配置步骤 #

1. 关闭拆分隧道，强制所有流量走VPN #

• 网关端配置：在Azure门户进入VPN网关的「点到站点配置」，将「路由类型」设置为「强制隧道」，保存配置后重新生成客户端配置文件并导入。
• 客户端端修改：直接编辑已导入的VPN配置文件（.xml格式），找到<SplitTunneling>True</SplitTunneling>节点，修改为<SplitTunneling>False</SplitTunneling>，重新导入配置后重启VPN连接。

2. 配置虚拟网络固定出站公网IP #

使用Azure NAT网关绑定静态公共IP，实现所有VPN客户端的出站流量统一走该固定IP：

• 创建静态公共IP（选择「标准」SKU，保留固定IP地址）。
• 创建NAT网关，关联上述静态公共IP，并将NAT网关绑定至VPN客户端所属的虚拟网络子网。
• 验证子网关联：确保VPN客户端所在子网已关联该NAT网关，所有出站流量会自动通过NAT网关的固定IP转发。

3. 验证配置效果 #

• 重新连接Azure VPN Client后，执行命令 curl ifconfig.me（或通过本地IP查询工具）确认公网IP已切换为配置的静态公共IP。
• 测试访问合作方资源，确认请求来源IP为该固定IP。

注意事项 #

• 强制隧道模式下，客户端所有流量均走VPN链路，若需保留本地部分流量的直接访问，可配置自定义路由规则限定VPN转发的目标网段。
• 确保VPN网关的点到站点配置已正确启用AAD身份验证，客户端配置文件与网关配置同步。

内容的提问来源于stack exchange，提问作者RogerKint