A RetailCo executa um design hub-spoke usando um Hub Virtual Seguro com o Azure Firewall. Eles querem que todo o tráfego de saída para a internet dos spokes seja inspecionado centralmente. Qual configuração da tabela de rotas do hub garantirá a saída centralizada e evitará hairpinning ou bypass dos spokes?

A opção correta descreve a configuração padrão e recomendada para rotear todo o tráfego de saída da internet dos spokes através de um Azure Firewall implantado em um Hub Virtual Seguro. Ao criar uma rota 0.0.0.0/0 na tabela de rotas do hub com o Azure Firewall como próximo salto e associá-la às conexões dos spokes, garante-se que todo o tráfego destinado à internet dos spokes seja forçado a passar pelo firewall no hub para inspeção, evitando desvios (hairpinning ou bypass). A intenção de roteamento para tráfego da internet no hub seguro reforça essa diretriz. As opções incorretas são: Criar UDRs em cada sub-rede de spoke apontando para o gateway da internet não direcionaria o tráfego para o firewall do hub e o Azure Firewall não opera em modo transparente para esse cenário. Instalar um Azure Route Server em cada spoke e usar rotas BGP para 0.0.0.0/0 apontando para o firewall do hub é uma abordagem mais complexa e não é a maneira padrão de forçar o tráfego de internet através do firewall do hub em um Hub Virtual Seguro. A tabela de rotas do hub é o mecanismo correto. Habilitar o "Forced tunneling" em gateways VPN de spoke é para enviar tráfego local para um datacenter on-premises, não para forçar o tráfego da internet através de um Azure Firewall no hub.