如何在Azure中连接存在IP重叠的虚拟网络（VNet）？

现有网络拓扑 #

我们采用典型的中心辐射型VNet拓扑：

• 中心VNet通过ExpressRoute连接本地数据中心（DC）
• 分支VNet与中心VNet建立对等连接
• 中心VNet内部署Azure防火墙，负责过滤中心-分支、中心-本地网段间的流量（对应图中GREEN区域）

需求说明 #

新增一个隔离VNet（对应图中RED区域），其IP地址段与现有GREEN区域网络存在重叠，需要实现该VNet内的工作负载访问中心VNet或本地DC中的私有应用，且禁止在新VNet与中心VNet之间设置任何VPN。

实现方案 #

1. Azure Private Link服务（推荐方案） #

• 在中心VNet或本地DC的目标私有应用所在子网，部署Azure Private Link服务，将应用封装为可通过私有端点访问的资源
• 在隔离VNet中为目标应用创建私有端点：私有端点会分配隔离VNet内的专属IP，通过Azure骨干网络直接对接目标应用，完全绕过VNet对等或VPN，不受IP重叠影响
• 适配场景：支持Azure原生服务（VM、App Service、SQL等），自定义应用可通过Standard Load Balancer部署Private Link服务

2. Azure Firewall NAT规则转换 #

• 在中心VNet的Azure防火墙中配置目的地NAT规则：将中心VNet/本地DC的私有应用IP转换为一个不与隔离VNet重叠的中转IP地址
• 在隔离VNet配置路由：将访问中转IP的流量指向Azure防火墙的私有IP（利用Azure骨干网络默认可达性，无需VNet对等）
• 配套配置：在防火墙中添加对应网络规则，允许隔离VNet到中转IP的流量，防火墙自动完成NAT转换并转发至真实应用IP

3. Azure Virtual WAN地址转换（已有WAN架构适用） #

• 若环境已部署Azure Virtual WAN，在隔离VNet接入WAN时配置源NAT规则：将隔离VNet的重叠IP转换为Virtual WAN地址空间内的非重叠IP
• 确保Virtual WAN已连接中心VNet与ExpressRoute，转换后的流量可直接访问中心/本地资源
• 优势：依托WAN的全局路由能力，无需额外搭建VPN链路

内容的提问来源于stack exchange，提问作者Pradeep