Azure Firewall 部署到 AzureFirewallSubnet，并且来自 Subnet2 的所有流量都通过该防火墙路由。Subnet2 中的主机必须能够访问外部站点 https://*.contoso.com。您应该对防火墙策略进行哪些更改以允许此访问？

正确答案是“在防火墙策略中，创建应用程序规则”。这是因为应用程序规则允许您基于 FQDN（完全限定域名）过滤流量，这正是访问 https://.contoso.com 所需的。 1. 应用程序规则 (Application Rule)：适用于 HTTP/S 和 MSSQL 流量，基于 FQDN 进行过滤。在此场景中，需要访问特定的外部网站 .contoso.com，因此应用程序规则是最佳选择。 2. DNAT 规则 (DNAT Rule)：用于将传入流量的目标 IP 地址和端口转换为后端服务器的 IP 地址和端口，通常用于发布内部服务到外部，与此场景无关。 3. 网络安全组 (NSG)：NSG 在子网或 NIC 级别提供五元组（源 IP、源端口、目标 IP、目标端口、协议）过滤，但不能识别 FQDN，因此无法满足访问 .contoso.com 的需求。 4. 网络规则 (Network Rule)：基于 IP 地址、端口和协议进行过滤，适用于所有端口和协议。虽然可以限制到特定 IP 地址，但不能直接基于 FQDN .contoso.com 进行过滤，这在目标 IP 地址可能动态变化时会很困难。