Un'azienda di servizi finanziari desidera che tutto il traffico diretto a Internet dalle VM in una VNet spoke venga instradato nuovamente al proprio stack di sicurezza on-premise (forced tunneling) tramite una VPN Site-to-Site esistente. Quale modello di configurazione di Azure realizzerà il forced tunneling preservando la propagazione delle route dalla connessione VPN?

Per implementare il forced tunneling mantenendo la propagazione delle route da una VPN Site-to-Site esistente, è necessario che il traffico Internet (0.0.0.0/0) venga instradato attraverso il gateway di rete virtuale. L'opzione corretta descrive due passaggi fondamentali: primo, una User-Defined Route (UDR) nella VNet spoke che direziona 0.0.0.0/0 al gateway di rete virtuale; secondo, l'annuncio della route 0.0.0.0/0 dal router edge on-premise tramite BGP. Questo garantisce che il gateway di rete virtuale propaghi la route predefinita allo spoke, reindirizzando efficacemente tutto il traffico Internet on-premise. Le altre opzioni sono errate perché: Abilitare il forced tunneling di Azure Firewall non reindirizza il traffico on-premise tramite la VPN esistente, ma lo instrada attraverso Azure Firewall. Riscrivere gli IP di origine e inviare il traffico Internet direttamente tramite Azure non realizza il forced tunneling on-premise. Aggiungere un suffisso DNS non influisce sul routing del traffico Internet, ma solo sulla risoluzione dei nomi.