我可以使用 Azure 中心辐射型拓扑中的路由表来路由出站 HTTP 请求以通过中心的 NAT 网关吗？

Question

我在 Azure 中有一个中心辐射拓扑，以便辐射 vnet 与中心对等。我有在分支 vnet 中运行的功能应用程序，我希望通过集线器的 NAT 网关路由来自这些应用程序的出站连接，以便所有流量都可以获得 HTTP 请求的一个 IP 地址。

问题： 这可以通过路由表规则实现吗？还是我需要一些网络虚拟设备 (NVA) 来集线器 vnet 来充当“代理”？ ..或者如果 NVA 是强制执行的，那么什么可能是最便宜的选择（小型虚拟机？负载均衡器？）

微软确实有这个中心辐射型示例，但它有简单的虚拟机作为 NVA： https://learn.microsoft.com/en-us/azure/nat-gateway/tutorial-hub-spoke-route-nat

我希望尽可能降低成本，因此正在寻找避免为此目的设置虚拟机的方法。

我尝试了各种 azurerm_route 规则，但感觉需要是

VirtualAppliance

next_hop_type 但随后我需要（私有？）没有任何 NAT 网关的 IP 地址。

resource "azurerm_route" "example" {
  name                   = "from_spoke_to_hub_nat_gw"
  resource_group_name    = azurerm_resource_group.example.name
  route_table_name       = azurerm_route_table.example.name
  address_prefix         = "0.0.0.0/0"
  next_hop_type          = "VirtualAppliance"
  next_hop_in_ip_address = ?
}

Answer 1

您可以查看

Azure Marketplace

了解最便宜、最简单的 NVA。

或者，您可以根据您的要求使用以下任何方法。

方法：1

您可以在分支子网中部署第二个

NAT Gateway

并使用来自

Public IP

地址前缀的 IP，这将为您提供连续的

Public IPs

范围（您可以轻松将其列入白名单）

方法：2

您可以将

Azure Firewall

用作集线器中的

NVA

，请按照在中心辐射网络中将 NAT 网关与 Azure 防火墙集成以实现出站连接了解更多详细信息