您正在 Azure 中设计一个分支虚拟网络来托管多层应用程序。公司 IP 策略为本地和现有中心 VNet 保留了 10.0.0.0/8。新的分支必须避免重叠，以允许与中心进行对等连接。该应用程序将使用一个 Azure 存储帐户，该帐户绝不能通过其公共端点访问。您预计将有大约 500 个 VM，并有扩展空间。您应该如何设计？

正确答案提供了避免 IP 地址重叠的 VNet 地址空间 (172.16.0.0/16)，这对于与中心 VNet 的对等连接至关重要。它还为应用程序层（Web、App、DB）提供了适当大小的子网，并为私有端点预留了专用子网，这符合最佳实践。禁用存储帐户的公共访问并使用私有端点和私有 DNS 区域，确保了存储的安全性，满足了应用程序不能通过公共端点访问存储的要求。 其他选项不正确的原因如下： 172.16.0.0/24 VNet 太小，无法容纳 500 个 VM 并提供扩展空间。服务终结点允许通过公共 IP 访问存储，不符合安全要求。 10.250.0.0/16 VNet 地址空间与公司保留的 10.0.0.0/8 范围重叠。 192.168.0.0/20 VNet 地址空间本身可行，但将私有终结点放置在生产子网中可能不符合最佳实践，且未提及禁用公共访问。 172.16.0.0/16 VNet 中包含一个 /16 子网会浪费大量 IP 地址，且不利于网络分段和安全管理。服务终结点不符合禁用公共访问的要求。