一家金融服务公司希望将分支 VNet 中所有发往 Internet 的流量（强制隧道）通过现有的站点到站点 VPN 路由回其本地安全堆栈。哪种 Azure 配置模式可以在保留 VPN 连接路由传播的同时实现强制隧道？

正确的做法是，在分支 VNet 中创建一条 UDR，将 0.0.0.0/0 指向虚拟网络网关。同时，本地边缘路由器需要通过 BGP 向 Azure 播发 0.0.0.0/0 默认路由。这样，Azure VPN 网关会将这条默认路由传播到分支 VNet，确保所有发往 Internet 的流量都通过 VPN 隧道回传到本地安全堆栈，实现强制隧道。 其他选项不正确： Azure Firewall 的强制隧道功能是将流量路由到 Azure Firewall，而不是直接回传到本地。 配置虚拟网络网关重写源 IP 并直接发送 Internet 流量不符合强制隧道的安全要求，且会绕过本地安全堆栈。 添加 DNS 后缀只影响名称解析，不影响实际的网络路由，无法实现强制隧道。