不使用peering实现Vnet间网络互联的可行方案

核心约束说明 #

当前你已完成VNet1-VNet2、VNet2-VNet3的双向Peering配置，如果保持默认的路由自动传播开启状态，VNet1和VNet3实际已经可以通过VNet2作为中转实现互通，这属于完全依托Peering能力达成的连接，不符合“不使用Peering建立互联”的要求。
所有可落地方案都需要先完成前置调整：关闭两条现有Peering的路由自动传播功能，确保VNet1不会通过VNet2-VNet1的Peering自动学到VNet3的网段，VNet3也不会通过VNet2-VNet3的Peering自动学到VNet1的网段，从配置层面切断Peering链路的跨VNet路由传递。 #

具体实现方案 #

1. VNet2 内部署转发实例做流量中转 #

• 实现逻辑：在VNet2的专属子网内部署具备IP转发能力的虚拟网络实例，可选Linux软路由、VyOS等开源网络OS实例，或是云平台提供的虚拟防火墙/路由设备
• 配置操作要点：
  • 在VNet1关联的路由表中添加静态路由：目标网段为VNet3的私网地址段，下一跳指向VNet2内中转实例的私有IP
  • 在VNet3关联的路由表中添加静态路由：目标网段为VNet1的私网地址段，下一跳指向VNet2内中转实例的私有IP
  • 登录中转实例，开启net.ipv4.ip_forward内核转发参数，放通对应安全组、网络ACL的跨网段转发规则

2. VNet1与VNet3之间直接搭建IPsec站点到站点VPN隧道 #

• 实现逻辑：在VNet1、VNet3内部署独立的VPN网关实例，两端直接协商建立IPsec加密隧道，跨VNet流量完全不经过VNet2的Peering链路
• 配置操作要点：
  • 给两端VPN网关分配可公网互通的IP地址，配置匹配两端私网网段的感兴趣流规则（VNet1私网网段 <-> VNet3私网网段）
  • 确保VNet1、VNet3路由表中，指向对端网段的VPN隧道路由优先级高于其他本地路由
  • 隧道建立完成后，在两端VNet内的测试主机上验证连通性

3. 依托中立云路由节点做跨网转发 #

• 实现逻辑：将VNet1、VNet3分别通过高速通道、云专线接入到同一个中立云路由转发节点，由该节点完成两个VNet之间的流量转发，全程不配置VNet1与VNet3的直接Peering
• 配置注意点：接入过程中关闭VNet侧接入端口的路由自动同步功能，避免VNet通过现有Peering链路提前获得对端的私网路由信息

效果校验：所有方案部署完成后，在VNet1、VNet3内的测试主机上执行路由路径追踪命令，确认跨网流量未经过VNet2的Peering转发节点，才算完全满足提出的约束要求。

内容的提问来源于stack exchange，提问作者Saisantosh Santoshsai