BlueSun, un fornitore globale di SaaS, ha un'applicazione web interna su 10.1.2.10:443 nella VNet hub e desidera pubblicarla su Internet utilizzando un singolo IP pubblico su Azure Firewall DNAT. Richiedono che l'endpoint esterno sia https://app.bluesun.com e vogliono che il firewall termini il TLS per l'ispezione IDPS, quindi riesegua la crittografia al backend utilizzando il certificato interno esistente. Quale configurazione DNAT e firewall realizza questo?

L'opzione corretta descrive il processo completo per soddisfare i requisiti. Per terminare il TLS sul firewall per l'ispezione IDPS, è necessario abilitare l'ispezione TLS sul Firewall di Azure e installare un certificato valido per app.bluesun.com sul firewall. Successivamente, per crittografare nuovamente il traffico verso il backend, il firewall deve ristabilire una sessione TLS con il server backend, il che richiede che anche il server backend utilizzi un certificato per app.bluesun.com. La regola DNAT è essenziale per tradurre l'IP pubblico e la porta 443 all'IP privato e alla porta 443 del server web. Le opzioni errate non soddisfano tutti i requisiti: "Configurare il passthrough TLS downstream" non permetterebbe l'ispezione IDPS, poiché il firewall non decifrebbe il traffico. Usare un Application Gateway WAF non è richiesto e aggiunge complessità non necessaria per il solo DNAT e l'ispezione TLS con il Firewall di Azure. Un Load Balancer con IP pubblico davanti al firewall non è necessario per questo scenario, poiché il Firewall di Azure può esporre direttamente un IP pubblico e gestire il DNAT.