Fabrikam은 Central US 리전에 Azure Firewall이 있는 Secured Virtual Hub를 운영합니다. 그들은 모든 프라이빗 스포크-투-스포크 트래픽이 스포크 간에 정상적으로 라우팅되기를 원하지만, 스포크에서 인터넷으로 향하는 모든 트래픽은 이그레스 전에 허브 Azure Firewall에 의해 검사되어야 합니다. 어떤 Virtual WAN 구성이 이를 달성할까요?

이 구성은 Azure Virtual WAN에서 스포크-투-스포크 트래픽은 직접 라우팅하고, 인터넷으로 향하는 모든 트래픽은 Azure Firewall을 통해 검사하도록 하는 표준적이고 효과적인 방법입니다. 라우팅 의도를 설정하면 허브에서 인터넷 트래픽을 방화벽으로 자동 리디렉션합니다. 0.0.0.0/0 정적 경로를 포함하는 허브 경로 테이블을 생성하고 이를 스포크 연결과 연결하면 스포크 VNet의 모든 인터넷 바인딩 트래픽이 허브의 Azure Firewall을 다음 홉으로 사용하도록 강제합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. NSG는 트래픽을 특정 대상으로 전달하는 라우팅 메커니즘이 아닙니다. UDR을 VNet 게이트웨이 IP로 설정하고 강제 터널링을 활성화하는 것은 Azure Firewall을 통한 검사를 보장하지 않습니다. ExpressRoute Global Reach는 온프레미스 네트워크 간의 연결을 위한 것이며 인터넷 트래픽 검사와는 관련이 없습니다.