한 금융 서비스 회사는 스포크 VNet의 VM에서 인터넷으로 향하는 모든 트래픽을 기존 Site-to-Site VPN을 통해 온프레미스 보안 스택으로 라우팅(강제 터널링)하기를 원합니다. VPN 연결에서 경로 전파를 유지하면서 강제 터널링을 구현할 Azure 구성 패턴은 무엇입니까?

정답은 스포크 VNet에 0.0.0.0/0 next hop이 가상 네트워크 게이트웨이로 설정된 UDR(사용자 정의 경로)을 배포하고, 온프레미스 에지 라우터가 BGP를 통해 Azure로 0.0.0.0/0을 알리도록 하여 게이트웨이가 기본 경로를 스포크로 전파하도록 하는 것입니다. 이 방법은 Azure VPN Gateway를 통해 온프레미스로 모든 인터넷 트래픽을 강제 터널링하면서 BGP를 통한 경로 전파를 유지합니다. 온프레미스 라우터가 0.0.0.0/0 경로를 알리면, Azure VPN Gateway는 이 경로를 스포크 VNet으로 전파하여 VM의 인터넷 트래픽이 온프레미스로 향하게 합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. Azure Firewall 강제 터널링은 Azure Firewall을 배포하고 모든 트래픽을 방화벽을 통해 라우팅하는 방식이며, 기존 Site-to-Site VPN을 통한 온프레미스 보안 스택으로의 강제 터널링 시나리오에 직접적으로 적용되지 않습니다. 가상 네트워크 게이트웨이를 구성하여 소스 IP를 다시 작성하고 인터넷 트래픽을 Azure를 통해 직접 보내는 것은 강제 터널링의 목적에 부합하지 않습니다. DNS 접미사를 추가하는 것은 이름 확인에 영향을 미치지만, 트래픽 라우팅 자체를 변경하지는 않습니다.