Fabrikam gestisce un Secured Virtual Hub in Central US con Azure Firewall. Vogliono che tutto il traffico privato spoke-to-spoke venga instradato normalmente tra gli spoke, ma richiedono che tutto il traffico destinato a Internet dagli spoke venga ispezionato dall'Azure Firewall dell'hub prima dell'uscita. Quale configurazione di Virtual WAN raggiunge questo obiettivo?

La configurazione corretta per ispezionare il traffico Internet dagli spoke tramite Azure Firewall in un Secured Virtual Hub è impostare l'intento di routing dell'hub virtuale in modo che il traffico Internet sia diretto all'Azure Firewall. Successivamente, si crea una tabella di routing dell'hub con una route statica 0.0.0.0/0 che punta all'IP privato del Firewall come next-hop e si associa questa tabella di routing alle connessioni spoke. Questo garantisce che tutto il traffico Internet dagli spoke venga forzato attraverso il Firewall per l'ispezione. Le altre opzioni sono errate perché: Configurare NSG con IP forwarding non è il metodo standard per il routing del traffico Internet attraverso un firewall in Virtual WAN e l'IP forwarding sulle NIC del firewall non è necessario per questo scenario. Una UDR con next hop 'Internet' e forced tunneling sul gateway VNet non instrada il traffico attraverso l'Azure Firewall dell'hub per l'ispezione, ma lo invia direttamente a Internet o tramite un gateway VPN/ExpressRoute senza ispezione da parte del firewall. ExpressRoute Global Reach è per la connettività tra circuiti ExpressRoute e non è correlato all'instradamento del traffico Internet attraverso Azure Firewall per l'ispezione.