Fabrikam betreibt einen Secured Virtual Hub in Central US mit Azure Firewall. Sie möchten, dass der gesamte private Spoke-to-Spoke-Datenverkehr normal zwischen den Spokes geroutet wird, aber der gesamte Internet-gebundene Datenverkehr von den Spokes vor dem Egress von der Hub Azure Firewall inspiziert werden muss. Welche Virtual WAN-Konfiguration erreicht dies?

Die korrekte Konfiguration nutzt die Routing-Absicht des Secured Virtual Hub, um den Internet-Datenverkehr (0.0.0.0/0) zur Azure Firewall umzuleiten. Eine Hub-Routing-Tabelle mit einer statischen Route 0.0.0.0/0, die auf die private IP der Firewall zeigt, stellt sicher, dass dieser Datenverkehr die Firewall erreicht. Die Zuordnung dieser Routing-Tabelle zu den Spoke-Verbindungen wendet diese Regel auf alle Spokes an. Spoke-to-Spoke-Verkehr wird standardmäßig innerhalb des Virtual WAN geroutet, ohne die Firewall zu durchlaufen, was die Anforderung erfüllt. Die Konfiguration von NSGs in jedem Spoke-Subnetz ist ineffizient und skaliert schlecht; zudem ist die Aktivierung der IP-Weiterleitung auf Firewall-NICs nicht die primäre Methode zur Steuerung des Internet-Egress in Virtual WAN. Eine UDR mit Next-Hop 'Internet' würde den Datenverkehr nicht durch die Firewall leiten, und erzwungenes Tunneling über ein VNet-Gateway ist für VPN- oder ExpressRoute-Szenarien relevanter, nicht für die erzwungene Weiterleitung durch eine Hub-Firewall. ExpressRoute Global Reach ist für die Verbindung von ExpressRoute-Leitungen gedacht und hat keinen direkten Einfluss auf die Internet-Egress-Inspektion durch eine Azure Firewall im Virtual WAN.