A Contoso Ltda. tem uma Virtual WAN com um hub no Oeste dos EUA. Eles implantaram três VNets spoke (app-spoke, db-spoke, mgmt-spoke) anexadas ao hub. A equipe de segurança exige que os prefixos db-spoke (10.10.2.0/24) nunca sejam aprendidos por app-spoke e mgmt-spoke, mas app-spoke ainda deve ser acessível a partir do ambiente local via uma conexão VPN Site a Site anexada ao mesmo hub. Como você deve configurar as tabelas de rotas do hub da Virtual WAN para conseguir isso?

A opção correta é criar uma tabela de rotas de hub personalizada sem propagação e associá-la apenas à conexão VPN local. Ao adicionar uma rota estática para 10.10.2.0/24 (db-spoke) com o próximo salto apontando para o IP da VPN local, você garante que apenas o ambiente local possa rotear para db-spoke. Como a propagação está desabilitada para esta tabela, os prefixos de db-spoke não serão propagados para app-spoke e mgmt-spoke, atendendo ao requisito de segurança. A associação exclusiva à VPN local permite que app-spoke continue acessível a partir do ambiente local, pois as rotas para app-spoke ainda serão propagadas para a VPN local através da tabela de rotas padrão ou de outra tabela configurada. A primeira opção está incorreta porque definir o próximo salto como 'None' faria com que o tráfego para 10.10.2.0/24 fosse descartado, impedindo o acesso do ambiente local. A segunda opção está incorreta porque habilitar a propagação apenas da VPN local não oculta os prefixos db-spoke de app-spoke e mgmt-spoke; a propagação controla quais rotas são anunciadas para as conexões associadas. A quarta opção está incorreta porque as tabelas de rotas da Virtual WAN não suportam ACLs para bloquear a propagação de prefixos específicos de forma granular.