通过Express Route配置Forced Tunneling及Cisco FTD NVA流量转发相关问题

• 首先配置用户定义路由（UDR，User Defined Route）
  • 配置位置：Azure虚拟网络对应的路由表资源
  • 配置逻辑：添加默认路由0.0.0.0/0，下一跳类型选择「虚拟网络网关」，选中已部署的Express Route网关实例，将该路由表关联到所有需要启用强制隧道的子网即可。如果你的Express Route已经开启BGP，也可以直接在本地网关侧宣告0.0.0.0/0路由，Azure侧会自动学习该路由实现强制隧道，无需额外配置UDR。
• 其次校验Express Route网关配置
  • 配置位置：虚拟网络网关资源
  • 配置逻辑：确认网关SKU为Express Route对应规格（标准/高性能/超高性能等），已和ER线路完成配对，本地对等体BGP会话处于正常连通状态（如果使用BGP宣告默认路由，需确保该配置生效）。
• 最后检查子网路由传播设置
  • 配置位置：对应子网关联的路由表配置页
  • 配置逻辑：确保「传播网关路由」开关为开启状态，否则子网内资源无法学习到ER宣告的路由条目。

• 单独为Cisco FTD NVA划分专属DMZ子网，所有业务子网不要直接关联指向ER网关的路由，先将流量转发到FTD内网接口。
• 调整业务子网路由表：给所有业务子网关联的路由表添加0.0.0.0/0路由，下一跳类型选择「虚拟设备」，下一跳地址填写Cisco FTD NVA的内网接口IP。
• 配置FTD侧路由规则：在FTD操作系统内添加静态路由，0.0.0.0/0的下一跳指向虚拟网络内Express Route网关的内网IP，同时配置流量放行策略，允许合法出站流量转发。
• 调整DMZ子网路由表：FTD所在的DMZ子网关联的路由表添加0.0.0.0/0路由，下一跳类型选择「虚拟网络网关」（即你的ER网关），同时开启路由传播，确保FTD可以学习到本地站点的路由条目。
• 校验方式：可以在业务虚拟机内执行tracert命令追踪公网IP的路由路径，确认第一跳为FTD内网IP、第二跳为ER网关，后续跳数出现本地站点设备即配置生效。

内容的提问来源于stack exchange，提问作者MatB