GlobalLogistics doit insérer une NVA (appliance virtuelle) tierce dans son transit Virtual WAN pour effectuer une inspection approfondie des paquets pour le trafic spoke-to-spoke. Ils prévoient d'utiliser une NVA du marketplace qui nécessite une IP privée fixe. Comment doivent-ils intégrer la NVA afin que le trafic de transit du hub la traverse ?

Pour insérer une NVA tierce dans le chemin de transit d'un hub Virtual WAN, la méthode recommandée est de la déployer dans un VNet spoke dédié, attaché au même hub. L'utilisation d'un groupe de machines virtuelles identiques assure la haute disponibilité et la scalabilité. Ensuite, une route statique doit être ajoutée à la table de routage du hub Virtual WAN. Cette route redirige le trafic destiné aux spokes (ou à des préfixes spécifiques) vers l'adresse IP privée de la NVA. Enfin, cette table de routage modifiée doit être associée aux spokes dont le trafic doit être inspecté par la NVA. Les autres options sont incorrectes car : Déployer la NVA dans un VNet spoke et utiliser le peering de VNet entre spokes ne permet pas de centraliser l'inspection via le hub Virtual WAN et ne gère pas le trafic de transit du hub de manière efficace. Azure Security Center n'est pas conçu pour déployer et gérer des NVA tierces pour l'inspection de paquets de transit de cette manière. Azure Route Server est utilisé pour échanger des routes BGP avec des NVA ou des appliances sur site, mais il ne gère pas directement le déploiement de la NVA ni la redirection du trafic via une route statique dans le hub Virtual WAN pour l'inspection de transit spoke-to-spoke.