Azure子网VPN网关下内部负载均衡能否转发UDP流量至VPN连接设备

结论 #

不可以，Azure 内部负载均衡（ILB）不支持将流量转发到通过 VPN 接入 VNet 的外部设备。

原因说明 #

• Azure 内部负载均衡的后端地址池仅支持添加当前 VNet 范围内的 Azure 原生资源，包括同 VNet 内的虚拟机、虚拟机规模集实例、Azure 侧创建的网卡资源，不支持将跨网络、通过 VPN/ExpressRoute 接入的非 Azure 侧 IP 加入后端池。
• 你提到的 10.3.0.2 属于 VPN 对端网络的地址，没有对应 Azure 侧的网卡资源，也不在你部署虚拟机的 10.1.0.0 网段所属 VNet 的地址空间内，无法被 ILB 识别为合法后端目标。

替代实现方案 #

如果需要将 VNet 内的 UDP 流量转发到 10.3.0.2，可采用以下两种方案：

1. 配置用户自定义路由（UDR）：在虚拟机所在子网关联的路由表中，添加目的地址为 10.3.0.2/32 的路由规则，下一跳类型选择虚拟网络网关，即可将该子网内所有发往 10.3.0.2 的流量直接通过 VPN 网关转发到目标设备。
2. 部署中转 NVA（网络虚拟设备）：如果需要保留负载均衡的流量分发能力，可以在 VNet 内部署一台 Linux/Windows 虚拟机作为转发设备，先将内部负载均衡的后端地址池指向这台中转虚拟机，再在中转虚拟机上配置转发规则，将收到的 UDP 流量转发到 10.3.0.2 即可。需要注意 UDP 是无连接协议，配置转发规则时建议开启会话保持，避免流量分发异常。

内容的提问来源于stack exchange，提问作者Wojciech