Uma empresa de serviços financeiros deseja que todo o tráfego de saída para a internet de VMs em uma VNet spoke seja roteado de volta para sua pilha de segurança local (túnel forçado) por meio de uma VPN Site a Site existente. Qual padrão de configuração do Azure realizará o túnel forçado, preservando a propagação de rota da conexão VPN?

Para forçar o túnel do tráfego de saída da internet de VMs em uma VNet spoke de volta para o ambiente local via uma VPN Site a Site, você precisa de uma rota padrão (0.0.0.0/0) apontando para o gateway de rede virtual. A opção correta descreve isso: uma UDR na VNet spoke com o próximo salto definido como o gateway de rede virtual direciona o tráfego para o gateway. O anúncio de 0.0.0.0/0 via BGP do roteador local para o Azure garante que o gateway de rede virtual propague essa rota padrão para a VNet spoke, completando o túnel forçado e preservando as rotas BGP existentes. As outras opções estão incorretas porque: O Azure Firewall não é a ferramenta principal para túnel forçado via VPN Site a Site e não encaminha automaticamente todo o tráfego para o ambiente local sem UDRs ou BGP nesse cenário. Reescrever IPs de origem no gateway não aborda o requisito de túnel forçado para o ambiente local. Adicionar um sufixo DNS resolve nomes, mas não controla o roteamento do tráfego de saída.