RetailCo betreibt ein Hub-Spoke-Design mit einem Secured Virtual Hub und Azure Firewall. Sie möchten, dass der gesamte Internet-gebundene Datenverkehr von den Spokes zentral inspiziert wird. Welche Hub-Routing-Tabellenkonfiguration gewährleistet einen zentralisierten Egress und vermeidet Hairpinning oder Umgehungen von den Spokes?

Diese Option ist korrekt, da sie die empfohlene Methode für zentralisierte Internet-Egress-Inspektion in einem Azure Virtual WAN Hub-Spoke-Design mit Azure Firewall ist. Eine Hub-Routing-Tabelle mit einer Standardroute (0.0.0.0/0) zum privaten IP der Azure Firewall stellt sicher, dass der gesamte Internetverkehr von den Spokes zur Firewall geleitet wird. Die Routing-Absicht für Internetverkehr, der vom Secured Hub inspiziert wird, ist entscheidend, um Hairpinning zu vermeiden und die Firewall als zentralen Inspektionspunkt zu erzwingen. Das Verknüpfen dieser Routing-Tabelle mit jeder Spoke-Verbindung wendet diese Richtlinie auf alle Spokes an. Die anderen Optionen sind falsch: Eine UDR in jedem Spoke-Subnetz, die 0.0.0.0/0 direkt an das Internet-Gateway leitet, würde die Azure Firewall umgehen. Azure Route Server ist für die dynamische Routenverteilung innerhalb von VNets und zu On-Premises-Netzwerken gedacht, nicht für die erzwungene Weiterleitung von Internetverkehr durch eine zentrale Firewall in einem Virtual WAN-Setup. Forced Tunneling auf einem VPN-Gateway ist für das Weiterleiten von Internetverkehr über ein Site-to-Site-VPN zu einem On-Premises-Netzwerk gedacht, nicht für die zentrale Inspektion durch eine Azure Firewall im Hub.