RetailCo utiliza un diseño hub-spoke con un Secured Virtual Hub con Azure Firewall. Quieren que todo el tráfico saliente a internet desde los spokes sea inspeccionado de forma centralizada. ¿Qué configuración de tabla de rutas del hub asegurará la salida centralizada y evitará el hairpinning o el bypass desde los spokes?

La opción correcta es la configuración estándar para el enrutamiento centralizado de tráfico a Internet a través de Azure Firewall en un Secured Virtual Hub. Al crear una ruta estática 0.0.0.0/0 con el siguiente salto como la IP privada de Azure Firewall y asociar esta tabla de rutas a las conexiones de spoke, se asegura que todo el tráfico saliente de los spokes sea dirigido al firewall para inspección. La intención de enrutamiento refuerza que el tráfico de Internet sea procesado por el hub seguro, evitando el "hairpinning" (tráfico que sale y regresa al mismo punto) o el bypass del firewall. Las otras opciones son incorrectas porque: Crear UDRs en cada subred de spoke que reenvíen 0.0.0.0/0 a la puerta de enlace de Internet no centraliza la inspección a través del firewall del hub. Instalar Azure Route Server en cada spoke para agregar rutas BGP es una solución de enrutamiento más compleja y no es el método principal para forzar el tráfico a través de Azure Firewall en un hub seguro. Habilitar el Forced tunneling en la VPN Gateway de cada VNet de spoke es para escenarios de conectividad híbrida y no es el mecanismo adecuado para la inspección centralizada del tráfico de Internet desde spokes en un entorno de Azure Virtual WAN.