Azure配置站点间VPN时，为何VPN网关不能脱离本地网络网关配置？

这是Azure VPN架构的设计决定的，核心原因有三点：

• 本地侧配置的独立管理隔离
  LNG不只是本地VPN设备的抽象，还承载了所有需要同步给Azure的本地侧配置：包括本地IDC的内网地址前缀、本地VPN设备的公网IP、本地侧BGP协议参数（若使用动态路由）。如果将这些配置直接写在虚拟网络网关（VNG）上，每新增一个对接的本地站点都需要修改VNG的核心配置，不仅操作风险高，也不符合云资源配置变更最小化的设计原则。
• 配置复用能力
  同一个LNG可以同时对接多个Azure VNG，如果你有多个Azure区域的虚拟网络需要接入同一个本地IDC，仅需创建一次LNG，复用所有本地侧配置即可，无需在每个VNG上重复填写相同的本地网段、VPN设备IP等信息，大幅降低配置冗余和出错概率。
• 连接资源的解耦设计
  S2S VPN的隧道连接本身是绑定在VNG和LNG之间的独立资源，你可以随时调整、删除连接，或者将同一个LNG切换对接其他VNG，不需要修改LNG上存储的本地侧配置，也不需要改动VNG的基础参数，运维灵活性更高。

至于为何VNG不能直接连接本地VPN设备，本质是因为如果没有LNG这个独立实体持久化存储本地侧的路由、设备信息，Azure无法实现隧道故障自动重连、路由自动下发、流量策略匹配等底层功能，也无法实现上述的配置隔离、复用能力。

内容的提问来源于stack exchange，提问作者V_S