Contoso Ltd. ha una Virtual WAN con un hub in West US. Hanno distribuito tre spoke VNet (app-spoke, db-spoke, mgmt-spoke) collegate all'hub. Il team di sicurezza richiede che i prefissi di db-spoke (10.10.2.0/24) non vengano mai appresi da app-spoke e mgmt-spoke, ma app-spoke deve essere comunque raggiungibile da on-prem tramite una connessione VPN Site-to-Site collegata allo stesso hub. Come si dovrebbero configurare le tabelle di routing dell'hub Virtual WAN per ottenere questo risultato?

La risposta corretta è creare una tabella di routing hub personalizzata senza propagazione, aggiungere una route statica per 10.10.2.0/24 che punti all'IP del next hop VPN on-prem e associarla solo alla connessione VPN on-prem. Questo approccio garantisce che il prefisso 10.10.2.0/24 (db-spoke) non venga propagato ad app-spoke e mgmt-spoke, soddisfacendo il requisito di sicurezza. Allo stesso tempo, la route statica permette alla connessione VPN on-prem di raggiungere db-spoke. Le altre opzioni sono errate perché: la prima opzione con next hop 'None' bloccherebbe il traffico verso db-spoke; la seconda opzione non nasconderebbe i prefissi di db-spoke da app-spoke e mgmt-spoke; la quarta opzione (ACL) non è una funzionalità diretta di Virtual WAN per il controllo della propagazione dei prefissi a questo livello.