Azure多VPN网关：SiteA第二条隧道创建及网关配置咨询

1. 能否为现有VPN网关添加第二个公网IP？ #

不能。Azure VPN网关的公网IP是创建时就绑定的固定资源，无论采用主动-被动还是主动-主动高可用模式，网关的公网IP数量都无法事后追加。主动-主动模式下的两个公网IP是用于冗余高可用的配置，并非可独立用于建立新隧道的额外IP资源。

2. 能否在同一GatewaySubnet中部署第二个VPN网关？ #

也不行。Azure的规则明确：每个虚拟网络只能创建一个名为GatewaySubnet的专用子网，且该子网内仅能部署一个VPN网关（或一个ExpressRoute网关，两种网关无法共存于同一子网），强行部署第二个网关会直接触发错误。

替代解决方案 #

针对你需要和SiteA建立第二条隧道、但SiteA无法向现有VPN网关IP发起新连接的场景，推荐两种可行方案：

方案一：利用现有VPN网关的多站点连接能力 #

Azure路由型VPN网关支持多站点连接，可在同一网关上创建多个站点到站点连接，无需额外IP。

• 若SiteA有第二个公网IP端点，直接在现有VPN网关上新建连接指向该端点，同时配置对应路由规则，将需走新隧道的网段关联到这个连接即可。
• 若SiteA只有一个公网IP，问题出在SiteA的VPN设备限制（无法向同一对端IP建立多条隧道）。此时可修改现有隧道的路由配置，把需分流的网段加入现有连接的路由列表；若设备支持，也可改用基于策略的VPN连接，通过策略规则区分不同流量的走向。

方案二：部署第二个VPN网关到新虚拟网络 #

如果必须建立完全独立的第二条隧道，可新建一个虚拟网络，在该vNet中创建专属的GatewaySubnet和VPN网关，再将新vNet与中心vNet对等互联。之后在中心防火墙和各spoke vNet的路由表中添加规则，将指定SiteA网段的流量导向新的VPN网关即可。这种方式需额外资源开销，但能实现完全隔离的隧道。

流量路由注意事项 #

无论采用哪种方案，都需要明确配置路由规则：

• 多站点连接场景下，VPN网关会自动学习各连接的路由，需确保中心防火墙的用户定义路由（UDR）将对应网段流量指向VPN网关。
• 部署第二个VPN网关时，要在中心vNet和spoke vNet的路由表中添加规则，指定目标网段路由到新网关，同时防火墙需允许对应流量通过。

内容的提问来源于stack exchange，提问作者Norrin Rad