Una empresa de servicios financieros desea que todo el tráfico con destino a Internet desde las VM de una VNet de tipo spoke se enrute de vuelta a su pila de seguridad local (forced tunneling) a través de una VPN Site-to-Site existente. ¿Qué patrón de configuración de Azure logrará el forced tunneling mientras se preserva la propagación de rutas desde la conexión VPN?

La opción correcta describe el método estándar para implementar el forced tunneling en Azure con una VPN Site-to-Site. Al crear una UDR en la VNet spoke que dirige 0.0.0.0/0 (todo el tráfico de Internet) al Virtual Network Gateway, se fuerza a que este tráfico pase por el gateway. Para que el gateway sepa a dónde enviar ese tráfico, el router de borde local debe anunciar la ruta predeterminada (0.0.0.0/0) a través de BGP, permitiendo que el gateway la propague a la VNet spoke. Esto garantiza que todo el tráfico saliente de Internet desde la VNet spoke se enrute de vuelta a la pila de seguridad local. Las otras opciones son incorrectas: Azure Firewall no tiene una característica de "forced tunneling" que reenvíe automáticamente el tráfico a las instalaciones locales sin UDR o BGP. Su función es inspeccionar y filtrar el tráfico. Configurar el Virtual Network Gateway para reescribir IP o enviar tráfico directamente a Internet no logra el forced tunneling a las instalaciones locales; lo envía directamente a Internet desde Azure. Agregar un sufijo DNS solo afecta la resolución de nombres, no el enrutamiento del tráfico de Internet.