RetailCo gebruikt een hub-spoke-ontwerp met een Secured Virtual Hub met Azure Firewall. Ze willen dat al het internetverkeer van spokes centraal wordt geïnspecteerd. Welke configuratie van de hub-routetabel zorgt voor gecentraliseerde egress en voorkomt hairpinning of bypass vanuit de spokes?

De juiste configuratie omvat het aanmaken van een hub-routetabel met een 0.0.0.0/0 statische route die naar het privé-IP van de Azure Firewall verwijst. Essentieel is het instellen van de routing intent om internetverkeer door de Secured Virtual Hub te laten inspecteren. Door deze routetabel te koppelen aan elke spoke-verbinding, wordt al het uitgaande internetverkeer van de spokes via de centrale Azure Firewall in de hub geleid voor inspectie, wat hairpinning of bypass voorkomt. De andere opties zijn onjuist: UDR's op spoke-subnetten die 0.0.0.0/0 naar de internetgateway sturen, omzeilen de centrale firewall. Azure Route Server in elke spoke is een complexere oplossing die niet primair bedoeld is voor dit specifieke scenario van gecentraliseerde internetuitgang via een Secured Virtual Hub. Forced tunneling via een VPN-gateway is een methode om verkeer naar een on-premises netwerk te sturen, niet om internetverkeer binnen Azure via een centrale firewall te leiden.