Contoso Ltd. heeft een Virtual WAN met een hub in West US. Ze hebben drie spoke VNet's (app-spoke, db-spoke, mgmt-spoke) geïmplementeerd die aan de hub zijn gekoppeld. Het beveiligingsteam vereist dat db-spoke prefixes (10.10.2.0/24) nooit worden geleerd door app-spoke en mgmt-spoke, maar app-spoke moet nog steeds bereikbaar zijn vanuit on-prem via een Site-to-Site VPN-verbinding die aan dezelfde hub is gekoppeld. Hoe moet u de Virtual WAN hub route tables configureren om dit te bereiken?

De correcte optie is om een aangepaste hub-routetabel te maken zonder propagatie, een statische route toe te voegen voor 10.10.2.0/24 die verwijst naar het on-prem VPN next hop IP, en deze tabel alleen te koppelen aan de on-prem VPN-verbinding. Dit zorgt ervoor dat de db-spoke prefixes (10.10.2.0/24) niet worden gepropageerd naar de app-spoke en mgmt-spoke, omdat deze spoke VNet's de standaardroutetabel blijven gebruiken of een andere aangepaste tabel die de db-spoke prefixes niet bevat. Tegelijkertijd kan de on-prem VPN-verbinding de db-spoke bereiken via de statische route in zijn gekoppelde tabel. De andere opties zijn incorrect omdat: Een statische route met next hop 'None' zou betekenen dat verkeer naar 10.10.2.0/24 nergens naartoe gaat, wat niet de bedoeling is. Propagatie inschakelen vanaf alleen de on-prem VPN-verbinding zou niet voorkomen dat de db-spoke prefixes worden geleerd door app-spoke en mgmt-spoke als deze verbindingen ook aan die tabel zijn gekoppeld. De standaard hub-routetabel biedt geen granulariteit om specifieke prefixes te blokkeren voor bepaalde spokes, en ACL's zijn geen standaardfunctionaliteit van Azure Virtual WAN-routetabellen voor dit doel.