A Contoso Ltd. tem uma topologia hub-spoke no Leste dos EUA: uma VNet de hub (Hub-VNet) com um NVA e duas VNets spoke (Spoke-A e Spoke-B). A Spoke-A está emparelhada com a Hub-VNet e a Spoke-B está emparelhada com a Hub-VNet. Os engenheiros percebem que as VMs na Spoke-A não conseguem alcançar as VMs na Spoke-B pelas conexões de emparelhamento. Qual explicação descreve melhor por que o tráfego direto spoke-to-spoke não atravessa o emparelhamento do hub, e o que a Contoso deve fazer para habilitar a comunicação spoke-to-spoke sem re-arquitetar todos os emparelhamentos?

A resposta correta é que o emparelhamento de VNet não é transitivo. Isso significa que, embora Spoke-A possa se comunicar com Hub-VNet e Spoke-B possa se comunicar com Hub-VNet, Spoke-A e Spoke-B não podem se comunicar diretamente entre si através do emparelhamento do hub. Para habilitar a comunicação spoke-to-spoke, o tráfego deve ser explicitamente roteado através do hub. Isso é feito implantando um NVA (Network Virtual Appliance) no hub e configurando UDRs (User Defined Routes) nas VNets spoke para direcionar o tráfego destinado à outra spoke para o NVA do hub. As outras opções estão incorretas: "O emparelhamento de VNet bloqueia todo o tráfego leste-oeste..." está errado porque o emparelhamento permite comunicação leste-oeste entre as VNets emparelhadas diretamente. Não existe uma configuração de 'Transit Peering'. "As VNets spoke exigem um Network Security Group compartilhado..." está incorreto. NSGs controlam o tráfego de rede, mas não alteram o comportamento de roteamento fundamental do emparelhamento de VNet. "O Azure roteia automaticamente o tráfego spoke-to-spoke via o hub somente quando o hub está em uma assinatura diferente..." está incorreto. A transitividade do emparelhamento não é afetada pela assinatura em que as VNets estão.