Votre abonnement contient Vnet1 avec les sous-réseaux Subnet1 et AzureFirewallSubnet, un pare-feu Azure public FW1, et une table de routage RT1 associée à Subnet1 qui route 0.0.0.0/0 vers FW1. Après avoir déployé 10 machines virtuelles Windows Server sur Subnet1, aucune des machines virtuelles ne s'est activée. Quelle modification permettra aux machines virtuelles de terminer l'activation de Windows ?

Les machines virtuelles Windows Server ont besoin d'accéder au service Azure Key Management Service (KMS) pour l'activation. Par défaut, cet accès se fait via Internet. Puisque RT1 route tout le trafic (0.0.0.0/0) vers FW1, le trafic KMS est également dirigé vers le pare-feu. Pour permettre l'activation, il faut s'assurer que le trafic KMS peut atteindre Internet. L'ajout d'un itinéraire Internet spécifique pour le service KMS dans RT1 permet au trafic d'activation de contourner le pare-feu ou d'être explicitement autorisé par celui-ci, selon la configuration du pare-feu. Une règle DNAT est pour le trafic entrant, pas sortant. Une passerelle NAT est pour la traduction d'adresses réseau sortantes, mais l'itinéraire est le problème principal ici. Un NSG peut autoriser le port 1688, mais l'itinéraire vers le service KMS est la cause fondamentale.