RetailCo utilizza un'architettura hub-spoke con un Secured Virtual Hub e Azure Firewall. L'azienda desidera che tutto il traffico in uscita verso Internet dagli spoke venga ispezionato centralmente. Quale configurazione della tabella di routing dell'hub garantirà l'egress centralizzato ed eviterà hairpinning o bypass dagli spoke?

Questa opzione è corretta perché l'utilizzo di una tabella di routing dell'hub con una route 0.0.0.0/0 che punta all'IP privato di Azure Firewall, associata a ogni connessione spoke, è il metodo standard e raccomandato in un'architettura hub-spoke con un Secured Virtual Hub per centralizzare l'ispezione del traffico in uscita verso Internet. L'impostazione dell'intento di routing garantisce che il traffico Internet venga ispezionato dal firewall, prevenendo l'hairpinning o il bypass. Le altre opzioni sono errate: Creare UDR su ogni subnet spoke che inoltra 0.0.0.0/0 al gateway Internet non centralizza l'ispezione tramite il firewall dell'hub e non è compatibile con l'ispezione del Secured Virtual Hub. Installare Azure Route Server in ogni spoke e aggiungere route BGP per 0.0.0.0/0 che puntano al firewall dell'hub è un approccio più complesso e non necessario quando si utilizza un Secured Virtual Hub, che gestisce già il routing centralizzato. Abilitare il Forced tunneling sul gateway VPN di ogni VNet spoke invierebbe il traffico Internet all'hub tramite una VPN site-to-site, ma non garantisce l'ispezione da parte di Azure Firewall nel Secured Virtual Hub per il traffico proveniente dagli spoke.