Ihr Abonnement enthält Vnet1 mit den Subnetzen Subnet1 und AzureFirewallSubnet, eine öffentliche Azure Firewall FW1 und eine Routingtabelle RT1, die Subnet1 zugeordnet ist und 0.0.0.0/0 an FW1 leitet. Nachdem Sie 10 Windows Server-VMs in Subnet1 bereitgestellt haben, wurde keine der VMs aktiviert. Welche Änderung ermöglicht den VMs die Windows-Aktivierung?

Die korrekte Antwort ist, eine Internetroute für den Azure Key Management Service (KMS) zu RT1 hinzuzufügen. Windows-VMs benötigen ausgehenden Zugriff auf den Azure KMS-Dienst über Port 1688, um aktiviert zu werden. Da RT1 den gesamten ausgehenden Datenverkehr (0.0.0.0/0) an FW1 leitet, muss FW1 eine Regel haben, die diesen Datenverkehr zulässt, oder RT1 muss eine spezifischere Route für den KMS-Dienst haben, die das Umgehen der Firewall ermöglicht. Das Hinzufügen einer Internetroute für den KMS-Dienst in RT1 stellt sicher, dass der Aktivierungsdatenverkehr direkt das Internet erreichen kann. Das Konfigurieren einer DNAT-Regel in FW1 ist falsch, da DNAT für eingehende Verbindungen verwendet wird, nicht für ausgehende Aktivierungsanfragen. Das Bereitstellen eines NAT Gateways ist unnötig, da die Firewall bereits NAT-Funktionen bereitstellen kann und das Problem nicht der fehlende Internetzugang an sich ist, sondern die spezifische Routing- oder Firewall-Regel für den KMS-Dienst. Das Zuordnen einer NSG, die ausgehenden Zugriff auf Port 1688 erlaubt, ist ebenfalls falsch, da die Routingtabelle den Datenverkehr bereits an die Firewall leitet, bevor die NSG-Regeln angewendet werden würden. Die Firewall blockiert den Datenverkehr, nicht die NSG.