強制Azure VM走VPN從地端上Internet

在建好 Azure 與地端的 Site to Site VPN 後，心中有了一個大膽的想法

因為在預設狀況下， Azure 上的資源都是直接從雲端上 Internet，是否有可能強制走 VPN 從地端出去呢? 幾番測試研究後，終於實做出來。

[警語] 請務必閱讀完，瞭解設定後的狀況

設定方式如下

在 Azure Site to Site VPN 確認如同前文已設定好的環境下，到區域網路閘道 (Local Network Gateways) 的「組態」，新增如下兩筆的「位址空間」。

接著，由於最終是希望 Azure VM 能透過地端上網，所以請務必在地端對相關設備，如防火牆或交換器等設定 Policy 及路由。

以我的測試環境來說，只須在 Fortigate 防火牆上設定一組 Azure VNet 對 Wan 的 Policy，並且務必啟用「NAT」，就打完收工。

進行連線測試
可以發現外部 IP 已經變成中華電信所屬，連 Traceroute 的 ICMP 封包都正常從地端繞出去 (Azure 環境會封鎖 ICMP 封包)。

重點來了!!!

雖然 Azure VM 已經成功走 VPN 從地端上網，但...
從此，在該虛擬網路環境的資源也無法再透過 Azure 端外部進行存取。

簡單舉例，無法用該 VM 在 Azure 端的 Internet IP，用遠端桌面或連線到 Web 網站，也就是最上方的架構圖呈現。

後記

在 Azure 區域網路閘道的「位址空間」，我認為就是種路由資訊的概念，但預設會偵測並禁止「0.0.0.0/0」這樣的設定，也就是一般認定的 any 或 all。

也因為上面的錯誤提示，讓我進一步思考，如果 Azure 禁止設定「0.0.0.0/0」，那我有可能設定「0.0.0.0/1」嗎?

沒想到還真的可以，所以只要再補另一半的「128.0.0.0/1」位址空間，就跟設定單筆的「0.0.0.0/o」就意思一樣了。

Azure 虛擬網路對於路由有蠻詳細的說明，推薦參考延伸閱讀的資訊。