DNAT từ cổng mạng ảo

Tôi có một ứng dụng khách đang kết nối với Cổng mạng ảo Azure (Cổng 1) nằm trong Mạng ảo (ClientVNet1: 10.13.0.0/16). Tôi muốn máy khách có thể kết nối với DB của tôi (10.4.2.5) trong một Mạng ảo khác (InternalVnet1: 10.4.0.0/16). Tôi đã kết nối thành công VNets và kết nối với DB hoạt động tốt từ máy khách.

Tôi muốn thêm một lớp điều hướng và yêu cầu máy khách kết nối với 10.13.2.5 (sẽ chuyển tiếp lưu lượng truy cập tới 10.4.2.5). Tôi đã cố gắng thiết lập Bảng định tuyến (cho GatewaySubnet trong ClientVnet1) để chuyển tiếp tất cả lưu lượng truy cập nguồn từ 10.13.2.5 tới tường lửa (Firewall1) trong InternalVnet1. Sau đó, trong tường lửa, tôi đã cố thiết lập DNAT để chuyển hướng đến 10.4.2.5. Điều này dường như không làm việc. Đây có phải là cách chính xác để thực hiện việc này không?

Hay tôi cần thiết lập một IP riêng (giao diện mạng) với Chuyển tiếp IP được bật, sau đó liên kết với một VM hoạt động như một NVA (Thiết bị ảo mạng)?