Ein globaler SaaS-Anbieter, BlueSun, betreibt eine interne Web-App unter 10.1.2.10:443 im Hub-VNet und möchte diese über eine einzige öffentliche IP-Adresse auf Azure Firewall DNAT im Internet veröffentlichen. Der externe Endpunkt soll https://app.bluesun.com sein, und die Firewall soll TLS für die IDPS-Inspektion terminieren und dann mit dem vorhandenen internen Zertifikat erneut zum Backend verschlüsseln. Welche DNAT- und Firewall-Konfiguration erreicht dies?

Die korrekte Antwort beschreibt den Prozess der TLS-Terminierung und erneuten Verschlüsselung (re-encryption) durch Azure Firewall. Eine DNAT-Regel leitet den eingehenden HTTPS-Verkehr von der öffentlichen IP-Adresse der Firewall an die interne Web-App weiter. Die TLS-Inspektion der Firewall entschlüsselt den Datenverkehr mit einem Zertifikat für app.bluesun.com (für IDPS-Inspektion) und verschlüsselt ihn dann erneut, bevor er an das Backend gesendet wird. Damit die erneute Verschlüsselung funktioniert, muss das Backend ebenfalls ein gültiges Zertifikat für app.bluesun.com besitzen. Die erste Option ist falsch, da das "Downstream-TLS-Passthrough" die TLS-Inspektion für IDPS verhindern würde, da der Datenverkehr unverschlüsselt an das Backend weitergeleitet würde. Die dritte Option ist unnötig komplex und teurer; ein Application Gateway ist nicht erforderlich, wenn die Firewall die TLS-Terminierung und IDPS übernehmen kann. Die vierte Option ist ebenfalls unnötig, da Azure Firewall selbst eine öffentliche IP-Adresse haben kann und kein Load Balancer davor benötigt wird, um den Datenverkehr zu empfangen.