Il tuo abbonamento contiene Vnet1 con le subnet Subnet1 e AzureFirewallSubnet, un Azure Firewall pubblico FW1 e una tabella di routing RT1 associata a Subnet1 che instrada 0.0.0.0/0 a FW1. Dopo aver distribuito 10 VM Windows Server in Subnet1, nessuna delle VM è stata attivata. Quale modifica consentirà alle VM di completare l'attivazione di Windows?

Le VM Windows Server richiedono l'accesso a un server KMS (Key Management Service) per l'attivazione. Poiché tutto il traffico in uscita da Subnet1 è instradato tramite FW1 (0.0.0.0/0 a FW1), è necessario assicurarsi che FW1 consenta il traffico verso il servizio KMS di Azure. Il servizio KMS di Azure utilizza indirizzi IP pubblici specifici e la porta 1688. Aggiungere un percorso Internet a RT1 per il servizio KMS di Azure significa configurare una regola su FW1 (o un percorso specifico in RT1 che bypassi FW1 per il traffico KMS, sebbene meno comune) per consentire il traffico in uscita verso gli endpoint KMS di Azure sulla porta 1688. Le regole DNAT (Destination Network Address Translation) sono per il traffico in ingresso, non in uscita. Un NAT gateway non risolve il problema del blocco del traffico KMS da parte del firewall. Un NSG (Network Security Group) controlla il traffico a livello di subnet/NIC, ma il problema principale qui è il routing forzato attraverso il firewall e la necessità di una regola firewall per il traffico KMS.