Azure VPN私网IP冗余场景下分支重叠私网地址互联配置咨询

核心前提 #

所有方案均不需要修改分支侧现有网络配置，仅在Azure侧完成规则配置即可实现互通，适配迁移过渡期的快速上线需求。

方案1：VPN网关原生NAT（迁移过渡期首选，适合10个以下分支规模） #

• 为每个对接的分支分配全局唯一的映射网段，例如原所有分支重叠的192.168.1.0/24段，分别映射为10.101.0.0/24、10.102.0.0/24等不重叠网段
• 为每个分支创建独立的S2S VPN连接绑定到Azure VPN网关，开启网关NAT功能，分别为每个连接配置入站/出站NAT规则，将分支原始IP段转换为分配的映射网段
• 跨分支通信时，统一使用对方的映射网段作为目标地址，VPN网关自动完成IP转换，不会出现IP冲突问题
• 若使用Azure CLI批量配置NAT规则，参考命令：
  az network vnet-gateway nat-rule create --gateway-name <VPN网关名称> --resource-group <资源组名称> --name <规则名称> --type Static --mode IngressSnat --prefix-mapping '["192.168.1.0/24=10.101.0.0/24"]'

方案2：Azure虚拟WAN（Virtual WAN，大规模多分支场景首选，适合10个以上分支） #

• 开通Azure Virtual WAN服务，按区域部署安全虚拟集线器，所有分支的VPN连接直接接入对应区域的集线器
• 为每个重叠IP的分支分配独立的路由域，配置网段级静态NAT规则，自动完成原始IP和全局唯一映射IP的转换
• 虚拟WAN会自动维护全局路由表，跨区域、跨分支的流量不需要手动配置路由，适配全球多分支的大规模部署场景

方案3：Overlay网络架构（长期统一架构可选） #

• 若后续计划统一全球分支的IT网络架构，可在所有分支部署VXLAN等Overlay网络，为每个分支分配全局唯一的Overlay网段，底层重叠的Underlay IP无需调整
• 所有VPN连接基于Overlay网段建立路由，从根源上消除IP冲突问题，降低长期维护成本

注意事项：过渡期完成平台迁移后，建议逐步统一各分支的私有IP段，减少NAT规则带来的性能损耗和维护成本

内容的提问来源于stack exchange，提问作者Bibin