Toutes les instances Compute Engine doivent uniquement émettre du trafic Active Directory sur des ports spécifiques ; toute autre émission doit être bloquée. Comment devez-vous configurer les règles de pare-feu VPC ?

La bonne approche consiste à utiliser la priorité des règles de pare-feu. Les règles avec une priorité plus basse (nombre plus petit) sont évaluées avant les règles avec une priorité plus élevée (nombre plus grand). Pour bloquer tout le trafic sauf le trafic AD, vous devez d'abord créer une règle de refus générale avec une priorité élevée (par exemple, 1000) qui s'applique à tout le trafic sortant. Ensuite, créez une règle d'autorisation spécifique pour le trafic Active Directory avec une priorité plus basse (par exemple, 100). Cette règle d'autorisation sera évaluée en premier et permettra le trafic AD, tandis que le reste du trafic sera bloqué par la règle de refus générale. Les autres options sont incorrectes car : Inverser les priorités (refuser à 100, autoriser à 1000) ferait que la règle de refus générale bloquerait tout le trafic avant que la règle d'autorisation AD ne soit évaluée. S'appuyer sur la règle de refus implicite (priorité 65535) ne permet pas un contrôle granulaire pour bloquer tout le trafic sauf le trafic AD, car elle a la priorité la plus basse et serait outrepassée par toute règle d'autorisation spécifique.