VNet1 contiene un Azure Firewall (FW1) e 150 macchine virtuali. VNet1 è collegata a una zona DNS privata contoso.com e tutte le VM sono registrate in tale zona. VNet1 è connessa all'ambiente on-premise tramite ExpressRoute. È necessario che i server DNS on-premise risolvano i nomi nella zona privata contoso.com. Quali due azioni è necessario intraprendere? (Scegliere due.)

Per consentire ai server DNS on-premise di risolvere i nomi nella zona DNS privata di Azure, è necessario che le richieste DNS vengano inoltrate correttamente. Abilitare il proxy DNS su Azure Firewall (FW1) è fondamentale perché consente al firewall di intercettare e inoltrare le richieste DNS al resolver DNS di Azure, che è in grado di risolvere i nomi nelle zone DNS private collegate alla VNet. Successivamente, configurare i forwarder sui server DNS on-premise che puntano all'indirizzo IP frontend di FW1 indirizza le richieste DNS per contoso.com al firewall. Il firewall, con il proxy DNS abilitato, inoltrerà queste richieste al DNS di Azure per la risoluzione. Modificare le impostazioni del server DNS di VNet1 non è sufficiente da solo perché non fornisce un meccanismo per i server on-premise per interrogare direttamente la zona privata. Configurare un server DNS personalizzato per FW1 non è necessario in questo scenario, in quanto il proxy DNS utilizza il resolver DNS di Azure. Puntare i forwarder on-premise all'indirizzo 168.63.129.16 non funzionerebbe direttamente per le zone DNS private, poiché questo è l'indirizzo del resolver DNS pubblico di Azure, non quello in grado di risolvere le zone private da una rete on-premise senza un intermediario come il firewall con proxy DNS.