Azure ExpressRoute搭配NVA的强制隧道配置及入向流量过墙咨询

Azure ExpressRoute网关子网确实不支持绑定包含0.0.0.0/0的UDR，可通过以下两种方案实现需求：

方案1：手动配置网关子网细粒度UDR（适合小规模部署） #

• 给ExpressRoute网关子网绑定自定义UDR，不要添加0.0.0.0/0条目
• 将你Azure环境中所有需要防护的VNET地址段（包括当前VNET、已对等互联的其他VNET的全部CIDR）逐个添加到该UDR中，所有条目的下一跳均设置为思科NVA的私有IP
• 实现逻辑：Azure路由遵循最长匹配优先原则，本地入站流量经ExpressRoute网关进入Azure后，会优先匹配指向NVA的精确地址段路由，直接转发到NVA完成安全过滤后再转发到目标Azure子网
• 注意：后续新增VNET或调整地址段时，需要同步更新该UDR的条目，避免路由遗漏导致流量绕行

方案2：通过Azure Route Server动态同步路由（适合大规模多VNET部署） #

• 在当前VNET中部署Azure Route Server，和思科NVA建立BGP邻居关系
• 由思科NVA主动向Route Server通告所有Azure VNET的CIDR路由，下一跳设置为NVA自身私有IP
• 开启Route Server与ExpressRoute网关的路由同步开关，ExpressRoute网关会自动学习到NVA通告的所有Azure地址段路由
• 优势：无需手动维护网关子网UDR，后续地址段变更可通过BGP自动同步，运维成本更低

通用注意事项 #

• 必须开启思科NVA对应Azure网卡的IP转发功能，否则Azure会丢弃非本网卡IP的进出流量
• 需在NVA上配置正确的回程路由：发往本地的流量指向ExpressRoute网关，发往Azure子网的流量按对应路由转发，避免出现路由环路
• 如果配置了VNET对等互联，需要在对等设置中勾选对应路由传递选项（允许网关转发/使用远程网关），保证路由正常传递

内容的提问来源于stack exchange，提问作者MatB