禁用Azure AVD虚拟机出站互联网后，能否通过Site-to-Site VPN连接本地网络？

是的，只要配置正确，运行RemoteApp流的Azure Virtual Desktop (AVD) VM在禁用出站互联网访问后，依然可以通过Azure Site-to-Site (S2S) VPN与本地网络建立连接，但需满足以下关键前提：

• 确保AVD VM所在的虚拟网络已与Azure S2S VPN网关完成正确关联，且VPN隧道处于正常连通状态。
• 本地网络与Azure虚拟网络的路由表配置无误：双方私有IP地址段无冲突，路由规则明确允许AVD VM与本地资源之间的双向流量转发。
• AVD RemoteApp的核心依赖服务（如域控制器、应用许可证服务器等）需部署在本地网络或Azure虚拟网络的私有子网内，而非依赖公共互联网服务。若部分功能依赖互联网资源，禁用出站访问后这部分功能会受影响，但VPN连接本身不受干扰。
• 禁用出站互联网访问时，仅限制通往公共互联网的流量，不要阻断VPN网关相关的内部必要流量（比如Azure虚拟网络内部通信、VPN隧道的控制平面流量）。

需要注意：AVD的部分默认功能（如从Azure Marketplace获取应用、部分微软托管服务依赖）确实需要互联网支持，但如果你的RemoteApp完全基于私有网络内的资源，禁用出站互联网后，VPN连接和RemoteApp的核心访问功能仍可正常运行。

内容的提问来源于stack exchange，提问作者syimrpa81