一家公用事业客户希望所有 spoke-to-spoke 流量都通过部署在 Virtual WAN 中心内的中央 NVA。他们尝试在 spoke VNet 中创建 UDR，并将下一跳指向中心防火墙 IP，但 spoke 子网不遵守这些 UDR。为什么会发生这种情况？以及如何正确地强制 spoke-to-spoke 流量通过中心 NVA？

当 VNet 连接到 Virtual WAN 中心时，Azure 会管理 VNet 之间的路由。在 spoke VNet 中创建 UDR 不会影响 Virtual WAN 中心内的流量转发行为。要强制 spoke-to-spoke 流量通过中心 NVA，您需要在 Virtual WAN 中心创建一个自定义路由表。此路由表应包含指向 NVA 私有 IP 的静态路由（例如，针对所有流量的 0.0.0.0/0 或针对特定 spoke 网络）。然后，将此自定义路由表与 spoke VNet 连接关联。这样，Virtual WAN 中心就会将发往其他 spoke 的流量通过 NVA 引导。其他选项不正确，因为 Azure 不会阻止 UDR，但它们在 Virtual WAN 场景中不会按预期工作；BGP 不是强制通过 NVA 的必要条件；全局 VNet 对等连接不是 Virtual WAN 的正确路由机制。