Un proveedor global de SaaS, BlueSun, tiene una aplicación web interna en 10.1.2.10:443 en la VNet del hub y quiere publicarla en internet usando una única IP pública en Azure Firewall DNAT. Requieren que el endpoint externo sea https://app.bluesun.com y quieren que el firewall termine TLS para la inspección IDPS, y luego vuelva a cifrar al backend usando el certificado interno existente. ¿Qué configuración de DNAT y firewall logra esto?

La opción correcta describe el proceso completo de inspección TLS en Azure Firewall. Primero, se configura una regla DNAT para traducir la IP pública al servidor web interno. Luego, se habilita la inspección TLS en el firewall, lo que requiere un certificado para app.bluesun.com en el firewall para descifrar el tráfico entrante. Después de la inspección IDPS, el firewall vuelve a cifrar el tráfico al backend. Para que esto funcione, el servidor backend también debe presentar un certificado válido para app.bluesun.com para que el firewall pueda establecer una nueva conexión TLS. La primera opción es incorrecta porque "passthrough TLS descendente" no permite la inspección IDPS, ya que el firewall no descifra el tráfico. La tercera opción es incorrecta porque introducir un Application Gateway WAF añade complejidad innecesaria y no es la solución más directa para la inspección TLS del firewall. La cuarta opción es incorrecta porque un Load Balancer no es necesario para este escenario y añadirlo entre la IP pública y el firewall no es la forma estándar de configurar DNAT con inspección TLS en Azure Firewall.