Azure Site Recovery结合Azure Firewall的灾备网络配置问询

Azure Firewall 处理方式 #

• 必须在次要区域单独部署Azure Firewall实例。Azure Firewall是区域级PaaS服务，无法跨区域共享或直接复制，每个区域的防火墙都是独立资源，仅负责管控所在区域的流量。
• 建议提前在次要区域预部署防火墙，并同步主区域的规则配置（比如出站允许列表、NAT规则等），故障转移时可直接启用，避免临时部署带来的业务延迟。

用户定义路由（UDR）处理方式 #

• UDR属于区域级资源，无法跨区域复用。需要在次要区域的目标虚拟网络子网中创建新的UDR，配置与主区域一致的路由规则——将出站流量的下一跳指向次要区域部署的Azure Firewall实例。
• 若使用Azure Site Recovery（ASR）进行VM复制，ASR可自动创建匹配的虚拟网络和子网，但UDR需手动预配置或通过ARM模板/Bicep脚本自动化部署，确保故障转移后VM的出站路由逻辑与主区域一致。

额外优化建议 #

• 用ARM模板或Bicep定义主区域的防火墙和UDR配置，直接在次要区域部署相同模板，保证配置一致性，减少手动操作误差。
• 故障转移前务必测试次要区域的防火墙规则和UDR路由，验证出站流量是否正常通过防火墙转发，避免业务中断。

内容的提问来源于stack exchange，提问作者Krish