Fabrikam gère un hub virtuel sécurisé dans la région USA Centre avec Azure Firewall. Ils souhaitent que tout le trafic privé de spoke à spoke soit acheminé normalement entre les spokes, mais exigent que tout le trafic internet sortant des spokes soit inspecté par l'Azure Firewall du hub avant la sortie. Quelle configuration Virtual WAN permet d'atteindre cet objectif ?

La configuration de l'intention de routage sur le hub virtuel sécurisé pour diriger le trafic Internet vers Azure Firewall, combinée à une route statique 0.0.0.0/0 dans la table de routage du hub pointant vers l'IP privée du Firewall, et l'association de cette table aux connexions de spoke, garantit que tout le trafic sortant des spokes est inspecté par le pare-feu central. Cela permet un routage normal du trafic privé de spoke à spoke, tout en centralisant l'inspection du trafic Internet. Les groupes de sécurité réseau (NSG) ne peuvent pas rediriger le trafic vers une adresse IP spécifique. Les routes définies par l'utilisateur (UDR) avec le saut suivant 'Internet' ne permettent pas l'inspection par Azure Firewall, et le tunneling forcé sur une passerelle VNet est pour le trafic VPN/ExpressRoute, pas pour l'inspection du trafic Internet des spokes via Azure Firewall. ExpressRoute Global Reach est pour la connectivité entre circuits ExpressRoute, pas pour l'inspection du trafic Internet.