先用地圖看全局
網路若只看單一設定容易迷失。先理清「在哪裡連接」「在哪裡分隔」「在哪裡防護」「走哪條路徑」。
章節列表
在會議資料或客戶說明中，按全貌→連線方式→Hub-Spoke→BGP→通訊控制→維運的順序講解更易傳達。
全貌：Landing Zone 與網路
Landing Zone 網路應將連線方式、分離、路徑、通訊控制與維運作為整體考量。在深入單一服務名之前，先在地圖上確認整體角色。
→ 2WAN / 連線方式：ER、VPN、vWAN
ExpressRoute、VPN、Virtual WAN 都是連線選項，但目的不同。關鍵是根據據點數量、頻寬、SLA、維運體制來確定入口。
→ 3vWAN 與 Hub-Spoke 的取捨
vWAN 是託管式廣域連線的集中，Hub-Spoke 是自行精細控制的以 VNet 為中心的構成。沒有絕對正確，按規模與維運方針選擇。
→ 4Hub-Spoke 型網路
Hub 是公共功能與入口，Spoke 是業務系統的放置處。將 Gateway Transit、UDR、經 Firewall 控制作為整體設計。
→ 5連接地端與 Azure / BGP
BGP 是路由器之間自動交換路由的機制。Azure 側有效路由出現大量路由，是因為從 ExpressRoute 或地端側學習而來。
→ 6有效路由與最長匹配
VM 通訊使用的路由是系統路由、UDR、BGP 路由等合成的有效路由。0.0.0.0/0 是最後兜底，更具體的路由優先。
→ 7FW、UDR、NSG 的角色
NSG 負責允許/拒絕，UDR 負責變更路徑，Azure Firewall 負責集中檢查。分別設計各自角色可避免意外繞行。
→ 8維運要點 / DR、監控、標準化
網路在故障時能說明、能切換很重要。平時保留有效路由、Next Hop、日誌、DR 步驟。
→說明時使用的基本訊息
當涉及有效路由或 BGP 時，先將以下三點形成共識。
僅有路由表還不夠
VM 實際使用的是有效路由。UDR、BGP 與系統路由會被合成。
由最長匹配決定
相比 0.0.0.0/0，/24 或 /16 等更具體的路由優先。
BGP 自動通告
從對端路由器收到的路由，可能在 Azure 側顯示為 Gateway Route。
作為參考資料使用
本頁面作為客戶說明、設計討論與內部審查的入口。詳細設計時，請務必將 Microsoft Learn 與當前環境的有效路由、Next Hop、BGP 通告路由進行核對。