Contoso Ltd. tiene una Virtual WAN con un hub en West US. Desplegaron tres spoke VNets (app-spoke, db-spoke, mgmt-spoke) adjuntas al hub. El equipo de seguridad requiere que los prefijos de db-spoke (10.10.2.0/24) nunca sean aprendidos por app-spoke y mgmt-spoke, pero app-spoke debe seguir siendo accesible desde el entorno local a través de una conexión VPN Site-to-Site adjunta al mismo hub. ¿Cómo debe configurar las tablas de rutas del hub de Virtual WAN para lograr esto?

La opción correcta es crear una tabla de rutas de hub personalizada sin propagación y asociarla solo a la conexión VPN local. Esto permite definir rutas específicas para el tráfico que entra o sale de la conexión VPN. Al agregar una ruta estática para 10.10.2.0/24 apuntando a la IP del siguiente salto de la VPN local, se asegura que el tráfico destinado a db-spoke desde el entorno local se dirija correctamente. Al no propagar rutas desde la VPN local a otras conexiones (como app-spoke y mgmt-spoke), se evita que estas últimas aprendan los prefijos de db-spoke, cumpliendo el requisito de seguridad. Las otras opciones son incorrectas porque: Crear una ruta estática con el siguiente salto en 'None' para 10.10.2.0/24 en la conexión db-spoke bloquearía el tráfico hacia db-spoke, no su propagación. Habilitar la propagación solo desde la conexión VPN local y asociarla a app-spoke y mgmt-spoke no ocultaría los prefijos de db-spoke; de hecho, podría propagarlos si db-spoke estuviera asociado a esa tabla. La tabla de rutas de hub predeterminada no permite la granularidad necesaria para evitar la propagación selectiva de prefijos sin afectar otras comunicaciones. Las ACL no son una característica directa de las tablas de rutas de Virtual WAN para este propósito.