AWS VPN对接Azure VNet peering后无法访问CentralUS VNet资源

1. VNet Peering 核心配置校验 #

这是该场景最高发的故障点，默认新建的peering不会放行跨网关转发的流量：

• 检查EastUS VNet到CentralUS VNet的peering条目，确认允许网关传输选项已开启：该选项控制EastUS侧挂载的VPN网关流量能不能通过peering传到CentralUS，默认是关闭状态，关闭时所有从AWS VPN进入EastUS的流量，都会被直接丢弃，无法转发到CentralUS VNet
• 检查CentralUS VNet到EastUS VNet的peering条目，确认使用远程虚拟网络网关、允许转发的流量两个选项已开启：前者控制CentralUS的流量能不能通过EastUS的VPN网关回到AWS，后者控制CentralUS接收从EastUS VPN侧传来的第三方网段流量
• 确认两个peering条目的流量配置是配对生效的：不能只开单侧的转发/网关权限，任意一侧配置错误都会导致流量中断

2. 全链路路由与VPN配置校验 #

仅在单一侧加静态路由无法保证全链路连通，需要逐段核对：

• 检查AWS侧路由表：确认指向CentralUS VNet CIDR的静态路由下一跳，确实是和Azure对接的VPN连接对应的虚拟专用网关（VGW），不要错把下一跳配成互联网网关、NAT网关或其他VPC对等连接
• 检查VPN感兴趣流（加密域）配置：如果是静态路由模式的VPN，AWS侧VPN连接的远端网段、Azure侧本地网络网关的地址空间，都必须同时包含EastUS VNet CIDR和CentralUS VNet CIDR；如果漏加CentralUS网段，VPN隧道根本不会封装该网段的流量，加多少静态路由都不生效
• 检查Azure两侧VNet的子网路由表：
  • EastUS子网关联的路由表中，CentralUS VNet CIDR的下一跳必须是VNet Peering类型，不能存在自定义UDR把该网段流量导去第三方虚拟设备、NAT网关等其他路径
  • CentralUS子网关联的路由表中，AWS VPC CIDR的下一跳必须是VNet Peering类型，确保回程流量走EastUS VPN网关
• 如果是BGP动态路由模式的VPN，检查Azure VPN网关的BGP路由表，确认CentralUS VNet CIDR已经重分发进BGP进程，能正常通告给AWS侧VGW，AWS侧路由表能学到对应动态路由，避免出现AWS侧有去程路由、Azure侧无回程路由的路由黑洞

3. 安全访问规则校验 #

路由通了之后安全规则拦截是第二大常见故障原因：

• 检查两个Azure VNet的子网NSG：双向放通AWS VPC CIDR、EastUS VNet CIDR、CentralUS VNet CIDR之间的流量，不要把VPN网关传来的内网流量识别成公网流量拦截
• 检查AWS侧安全组、子网网络ACL：出站放通到CentralUS VNet CIDR的访问，入站放通来自CentralUS VNet CIDR的返回流量，网络ACL不要拦截对应网段的ICMP和业务端口流量
• 检查CentralUS区域VM的主机防火墙：Windows防火墙、iptables、firewalld等默认规则可能拦截非本地子网的入站流量，测试阶段可以临时放开对应网段的ICMP和业务端口验证

4. 逐跳连通性验证 #

按流量路径逐段测试快速定位故障点：

• 先从EastUS VNet内的测试VM访问CentralUS VM的内网IP和业务端口，确认peering本身的转发无异常（不要只测ICMP，要同步测业务使用的TCP/UDP端口）
• 从AWS侧测试机traceroute到CentralUS VM的内网IP：如果流量在AWS VPN网关公网地址处中断，说明VPN感兴趣流没配对；如果流量在EastUS VNet网关地址处中断，说明peering转发权限没开；如果流量在CentralUS子网网关地址处中断，说明NSG或主机防火墙拦截
• 从CentralUS侧VM traceroute回AWS侧测试机内网IP，验证回程路径无路由黑洞，90%以上的单向不通问题都是回程路由缺失导致

快速修复指引 #

• 若为peering配置问题：补开两侧peering对应的网关传输、远程网关使用、流量转发选项，等待3-5分钟配置生效后重测
• 若为VPN感兴趣流问题：同步修改AWS侧VPN连接的远端网段、Azure侧本地网络网关的地址空间，加上CentralUS VNet CIDR，等待VPN隧道重连后生效
• 若为路由冲突问题：删除两侧路由表中对应网段的错误自定义路由，让VNet Peering自动生成的系统路由生效
• 若为安全规则拦截问题：先临时放通双向ICMP验证三层连通性，再根据业务需求缩紧端口放行范围

内容的提问来源于stack exchange，提问作者yershalom