글로벌 SaaS 제공업체인 BlueSun은 허브 VNet의 10.1.2.10:443에 내부 웹 앱을 가지고 있으며, Azure Firewall DNAT에서 단일 공용 IP를 사용하여 이를 인터넷에 게시하려고 합니다. 외부 엔드포인트는 https://app.bluesun.com이어야 하며, 방화벽이 IDPS 검사를 위해 TLS를 종료한 다음 기존 내부 인증서를 사용하여 백엔드로 다시 암호화해야 합니다. 어떤 DNAT 및 방화벽 구성이 이를 달성할 수 있을까요?

정답은 Azure Firewall에서 DNAT 규칙을 생성하여 공용 IP:443을 내부 웹 앱 10.1.2.10:443으로 매핑하고, app.bluesun.com용 인증서로 TLS 검사를 활성화하며, 방화벽이 백엔드로 TLS를 다시 설정할 수 있도록 백엔드 서버도 app.bluesun.com용 인증서를 사용하도록 구성하는 것입니다. 이는 방화벽이 IDPS 검사를 위해 TLS를 종료하고, 내부 인증서로 백엔드에 다시 암호화하여 종단 간 보안을 유지하는 요구 사항을 충족합니다. 오답: 첫 번째 오답은 "다운스트림 TLS passthrough"를 언급하는데, 이는 방화벽이 TLS를 종료한 후 다시 암호화하는 대신 단순히 통과시키는 것을 의미하므로 요구 사항에 부합하지 않습니다. 세 번째 오답은 Azure Application Gateway WAF를 추가하여 불필요하게 복잡성을 증가시키고, 방화벽이 직접 DNAT를 처리할 수 있는 시나리오에서 추가적인 비용과 관리 오버헤드를 발생시킵니다. 네 번째 오답은 Load Balancer를 사용하여 방화벽 앞에 배치하는데, 이는 방화벽의 DNAT 기능을 직접 활용하는 대신 불필요한 계층을 추가하고 구성 복잡성을 높입니다.