Доступ к ресурсам локальной сети из лазурного веб-приложения

Мне нужно получить доступ к некоторым ресурсам локальной сети из webapi, работающего как служба приложений.

По причинам, наш локальный сетевой шлюз (что-то вроде Cisco ASA) требует того, что на классическом жаргоне vnet называется статической маршрутизацией, а на новом жаргоне RM называется маршрутизацией на основе политик. У меня нет возможности использовать гибридное соединение.

К сожалению, VPN-соединение типа «точка-сеть» в Azure для подключения AppServices к виртуальным сетям требует маршрутизации на основе маршрутов.

Итак, я получил настройку, показанную ниже.

С виртуальной машины во vnets 1 и 3 я могу получить доступ к ресурсам в локальной сети. С виртуальной машины во vnet 2 я могу получить доступ к ресурсам во vnets 1 и 3, но не в локальной сети. Из webapi (AppService) я могу получить доступ к ресурсам в vnet2, но ничего не в vnet1, 3 или локальной сети.

Я не могу включить «разрешить переход шлюза», поскольку для этого требуется, чтобы одноранговая виртуальная сеть не имела существующего шлюза, а также это было запрещено на статических шлюзах / шлюзах на основе политик.

Я хочу либо разрешить AppService прямой доступ к локальной сети, либо доступ через прокси, установленный во vnet. Любые идеи?

Я могу сделать ошибку, если API (AppService) вызовет api, действующий как прокси, работающий на виртуальной машине во vnet 2, вызовет api, действующий как прокси, работающий в vnet 1 (или 3), который вызывает ресурс в локальной сети. Но должен быть способ получше.