Une entreprise de services financiers souhaite que tout le trafic destiné à Internet provenant des machines virtuelles d'un VNet spoke soit acheminé vers sa pile de sécurité sur site (tunneling forcé) via un VPN Site-à-Site existant. Quel modèle de configuration Azure permettra d'accomplir le tunneling forcé tout en préservant la propagation des routes à partir de la connexion VPN ?

La bonne approche pour le tunneling forcé avec propagation de routes BGP est de configurer une UDR dans le VNet spoke. Cette UDR dirigera tout le trafic Internet (0.0.0.0/0) vers la passerelle de réseau virtuel. Simultanément, le routeur de périphérie sur site doit annoncer 0.0.0.0/0 via BGP à Azure. La passerelle VPN Azure recevra cette route par défaut et la propagera aux sous-réseaux du spoke, garantissant que le trafic Internet passe par la pile de sécurité sur site. L'activation du tunneling forcé d'Azure Firewall n'est pas la solution, car elle redirige le trafic Internet via Azure Firewall lui-même, et non vers le site sur site via le VPN existant. La configuration de la passerelle de réseau virtuel pour réécrire les adresses IP source et envoyer le trafic directement vers Internet ne répond pas à l'exigence de tunneling forcé via la pile de sécurité sur site. L'ajout d'un suffixe DNS affecte la résolution de noms, pas le routage du trafic Internet.