Fabrikam vereist encryptie van VM-naar-VM-verkeer tussen twee VNets (VNet-EASTUS en VNet-WESTEU) in verschillende regio's. De VNets zijn momenteel gepeerd. De beveiligingsvereiste is dat verkeer onderweg moet worden versleuteld zonder de applicatie aan te passen. Wat is de meest eenvoudige Azure-oplossing en de vereisten om aan deze eis te voldoen?

De correcte optie is het implementeren van Azure VPN Gateways en het configureren van een VNet-naar-VNet IPsec/IKE VPN-verbinding. Dit is de meest eenvoudige en gangbare Azure-oplossing om VM-naar-VM-verkeer tussen gepeerde VNets in verschillende regio's te versleutelen zonder applicatieaanpassingen. IPsec versleutelt het verkeer op de netwerklaag. Vereisten zijn een gatewaysubnet en een openbaar IP-adres voor elke gateway, plus een compatibele VPN SKU (route-based, VpnGw1 of hoger). De optie om VNet-peering met 'Use remote gateways' in te schakelen, dwingt geen IPsec-encryptie af over de peering zelf; het maakt alleen het delen van een gateway mogelijk. NSG-encryptie bestaat niet; NSG's filteren verkeer, ze versleutelen niet. Een Application Gateway is een Layer 7 load balancer en proxy; hoewel het TLS kan afdwingen, is het primair bedoeld voor webverkeer en niet de meest eenvoudige oplossing voor algemene VM-naar-VM-encryptie op netwerkniveau, en het vereist applicatie- of configuratieaanpassingen voor end-to-end TLS.