Você tem uma rede virtual VNet1 com estas sub-redes: AzureFirewallSubnet, GatewaySubnet, Subnet1, Subnet2 (delegada a Microsoft.Web/serverfarms) e Subnet3. Você deve implantar um Application Gateway AG1 com integração WAF para publicar o VMSS1. A qual sub-rede você deve anexar o AG1?

O Application Gateway, especialmente com WAF, requer uma sub-rede dedicada. A Subnet3 é a única sub-rede disponível que não possui uma finalidade específica ou delegação que impediria a implantação do Application Gateway. GatewaySubnet é reservada para gateways de rede virtual (VPN Gateway, ExpressRoute Gateway) e não pode ser usada para outros serviços. AzureFirewallSubnet é exclusivamente para o Azure Firewall. Subnet2 é delegada a Microsoft.Web/serverfarms, o que significa que ela é usada para hospedar serviços do Azure App Service e não pode ser usada para o Application Gateway. Subnet1 não é a melhor opção, pois é uma sub-rede genérica e a prática recomendada é ter uma sub-rede dedicada para o Application Gateway para isolamento e gerenciamento de tráfego. Embora tecnicamente possível, Subnet3 é a opção mais adequada e genérica para essa finalidade.