---
id: ccna-hybrid-routing
title: "Hybrid: VPN, route và BGP"
track: nat-hybrid
trackTitle: "NAT, SNAT và hybrid routing"
order: 2
level: important
status: published
estimatedMinutes: 30
prerequisites:
  - ccna-nat-snat
next: ccna-acl-segmentation
reviewedAgainst: 2026-10-29
sources:
  - title: "Azure — BGP with ExpressRoute"
    url: https://learn.microsoft.com/en-us/azure/expressroute/expressroute-routing
---

# Hybrid: VPN, route và BGP

Site-to-site VPN hoặc ExpressRoute + BGP: medium khác nhau, bài toán giống nhau — **mỗi đầu phải có route tới prefix đối phương**.

## Để làm gì

Làm việc với network team khi ticket “tunnel Up” nhưng app không thấy DB Azure.

## Gồm những gì

Tunnel sống ≠ route đủ. Static qua tunnel vs BGP advertise. Không config router 2500 trong bài này.

## Dùng khi nào

Sau failover WAN, migrate hybrid, PR thêm UDR.

<div class="shake">
<div class="shake-who">On-prem</div>
<div class="shake-who">Cloud</div>
<p class="shake-msg to-right"><span>10.20.0.0/16</span><span class="shake-bar"></span><i>phải có trên router DC</i></p>
<p class="shake-msg to-left"><span>10.30.0.0/16</span><span class="shake-bar"></span><i>phải có trên VNet</i></p>
<p class="shake-after">Test bằng IP, một host mỗi phía.</p>
</div>

```bash
traceroute -n 10.30.1.4
ping -c 2 GATEWAY_VPN
```

## Checklist

- [ ] Có bảng prefix hai chiều (document, không chỉ “tunnel green”).
- [ ] Effective routes trên VM cloud khớp kỳ vọng trước khi mở ticket firewall.

## Thẻ ôn

### ccna-hybrid-routing-up-vs-route
kind: distinguish
cue: "VPN Up" + "no ping"

Q: Portal báo Up — đã đủ để ping VM cloud chưa?

A: Chưa; cần route tới prefix và rule cho phép traffic test.

## Tiếp theo

[ACL, NSG và NetworkPolicy](../segmentation/01-acl-segmentation.md)