先用地图看全局
网络若只看单个设置容易迷失。先理清“在哪里连接”“在哪里分隔”“在哪里防护”“走哪条路径”。
章节列表
在会议资料或客户说明中，按全貌→连接方式→Hub-Spoke→BGP→通信控制→运维的顺序讲解更易传达。
全貌：Landing Zone 与网络
Landing Zone 网络应将连接方式、分离、路径、通信控制与运维作为整体考虑。在深入单个服务名之前，先在地图上确认整体角色。
→ 2WAN / 连接方式：ER、VPN、vWAN
ExpressRoute、VPN、Virtual WAN 都是连接选项，但目的不同。关键是根据站点数量、带宽、SLA、运维体制来确定入口。
→ 3vWAN 与 Hub-Spoke 的取舍
vWAN 是托管式广域连接的集中，Hub-Spoke 是自行精细控制的以 VNet 为中心的构成。没有绝对正确，按规模与运维方针选择。
→ 4Hub-Spoke 型网络
Hub 是公共功能与入口，Spoke 是业务系统的放置处。将 Gateway Transit、UDR、经 Firewall 控制作为整体设计。
→ 5连接本地与 Azure / BGP
BGP 是路由器之间自动交换路由的机制。Azure 侧有效路由出现大量路由，是因为从 ExpressRoute 或本地侧学习而来。
→ 6有效路由与最长匹配
VM 通信使用的路由是系统路由、UDR、BGP 路由等合成的有效路由。0.0.0.0/0 是最后兜底，更具体的路由优先。
→ 7FW、UDR、NSG 的角色
NSG 负责允许/拒绝，UDR 负责变更路径，Azure Firewall 负责集中检查。分别设计各自角色可避免意外绕行。
→ 8运维要点 / DR、监控、标准化
网络在故障时能说明、能切换很重要。平时保留有效路由、Next Hop、日志、DR 步骤。
→说明时使用的基本信息
当涉及有效路由或 BGP 时，先将以下三点形成共识。
仅有路由表还不够
VM 实际使用的是有效路由。UDR、BGP 与系统路由会被合成。
由最长匹配决定
相比 0.0.0.0/0，/24 或 /16 等更具体的路由优先。
BGP 自动通告
从对端路由器收到的路由，可能在 Azure 侧显示为 Gateway Route。
作为参考资料使用
本页面作为客户说明、设计讨论与内部评审的入口。详细设计时，请务必将 Microsoft Learn 与当前环境的有效路由、Next Hop、BGP 通告路由进行核对。