Azure hub-spoke架构下部署多个独立S2S VPN网关的实现方案咨询

你收到的报错是Azure平台的原生限制：已启用网关传输的VNet对等互连的Hub VNet，仅允许存在1个VPN/ExpressRoute网关实例，该限制用于规避多网关场景下的默认路由冲突。你可以通过以下三种方案实现需求：

• 方案1：拆分Hub VNet，部署双Hub架构
  新建独立的第二Hub VNet，专门用于部署新的VPN网关，无需和原有Hub VNet建立对等互连。原有Hub保留现有VPN网关和已配置的网关传输对等互连，新Hub的对等互连同样可启用网关传输，供其下挂的Spoke VNet使用。如果需要两个Hub下的Spoke资源互通，可通过两个VPN网关之间建立IPsec隧道实现路由打通。
• 方案2：关闭现有对等互连的网关传输，改用自定义路由表（UDR）实现流量转发
  先临时禁用所有现有Spoke与Hub对等互连的「网关传输」配置，此时即可正常部署第二个VPN网关。为所有Spoke子网配置自定义路由表，指向原有Hub VPN网关的私有IP作为下一跳，还原原来的跨站点流量转发能力。第二个VPN网关的路由按需配置到对应业务子网的路由表即可，无需再依赖网关传输能力。
• 方案3：使用现有VPN网关的多连接特性替代独立网关部署
  如果你新增VPN网关的需求是对接多个异地站点、第三方租户，无需额外部署独立网关。现有VPN网关支持最高100个S2S IPsec隧道（具体上限取决于网关SKU），可直接在现有网关下新增连接配置，不影响现有业务运行。

注意：如果选用方案2，需要在变更前评估现有业务流量中断风险，建议在业务低峰期操作，先在测试环境验证路由规则有效性再上线生产环境。

内容的提问来源于stack exchange，提问作者azureMaster44