A VNet1 contém a subnet1 e a AzureFirewallSubnet. Um Azure Firewall público (FW1) é implantado e a RT1 é uma tabela de rotas associada à Subnet1 com uma rota 0.0.0.0/0 apontando para o FW1. Após implantar 10 VMs do Windows Server na Subnet1, nenhuma delas foi ativada. Para permitir que as VMs sejam ativadas, o que você deve fazer?

A ativação de VMs do Windows Server no Azure requer acesso ao Azure Key Management Service (KMS) pela porta TCP 1688. A rota 0.0.0.0/0 para o Firewall do Azure (FW1) direciona todo o tráfego de saída através dele. Para que as VMs ativem, o FW1 precisa permitir o tráfego para o KMS. A opção correta é adicionar uma rota de internet à RT1 que permita conectividade ao Azure KMS, garantindo que o tráfego para o KMS não seja bloqueado pelo firewall. Criar uma regra de saída com a tag de serviço AzureCloud no FW1 não é específico o suficiente para o KMS e pode permitir tráfego desnecessário. Implantar um gateway NAT não resolve o problema de roteamento ou de regra de firewall para o KMS. Configurar uma regra DNAT no FW1 é para tráfego de entrada e não se aplica à ativação de VMs, que é um processo de saída.