グローバルSaaSプロバイダーであるBlueSunは、ハブVNet内の10.1.2.10:443で内部Webアプリを運用しており、Azure Firewall DNATで単一のパブリックIPを使用してインターネットに公開したいと考えています。外部エンドポイントをhttps://app.bluesun.comとし、IDPS検査のためにファイアウォールでTLSを終端し、既存の内部証明書を使用してバックエンドに再暗号化する必要があります。これを実現するDNATおよびファイアウォールの構成はどれですか？

Azure FirewallでDNATルールを作成し、パブリックIPのポート443を内部WebアプリのIPアドレス10.1.2.10のポート443にマッピングすることで、外部からのトラフィックを内部サービスに転送します。TLS検査を有効にすることで、ファイアウォールはTLSセッションを終端し、IDPS検査を実行できます。この際、app.bluesun.comの証明書をファイアウォールにインストールします。バックエンドへの再暗号化のためには、ファイアウォールが新しいTLSセッションを確立する必要があるため、バックエンドサーバーもapp.bluesun.comの証明書を使用していることを確認する必要があります。 最初の選択肢は「ダウンストリームTLSパススルー」を構成するとありますが、これはTLS終端と再暗号化の要件を満たしません。3番目と4番目の選択肢は、Application Gatewayやロードバランサーの導入を提案しており、Azure Firewall単独でのDNATとTLS検査の要件を満たしません。