VNet1 contiene subnet1 e AzureFirewallSubnet. Un Azure Firewall (FW1) pubblico è stato distribuito e RT1 è una tabella di route associata a Subnet1 con una route 0.0.0.0/0 che punta a FW1. Dopo aver distribuito 10 VM Windows Server in Subnet1, nessuna di esse è stata attivata. Per consentire l'attivazione delle VM, cosa è necessario fare?

Le VM Windows Server richiedono la connettività al servizio Azure Key Management Service (KMS) per l'attivazione. Poiché RT1 ha una route 0.0.0.0/0 che indirizza tutto il traffico verso FW1, il traffico KMS viene intercettato. Per consentire l'attivazione, è necessario aggiungere una route specifica a RT1 che indirizzi il traffico verso gli endpoint KMS di Azure direttamente su Internet, bypassando il firewall per questa specifica comunicazione. Creare una regola in uscita su FW1 con il service tag AzureCloud non è sufficiente perché il traffico KMS potrebbe non essere incluso o potrebbe esserci un problema di routing precedente al firewall. Distribuire un gateway NAT non risolve il problema di routing specifico per KMS. Configurare una regola DNAT (Destination Network Address Translation) è per il traffico in entrata, non per il traffico in uscita necessario per l'attivazione delle VM.