Fabrikam uruchamia zabezpieczony wirtualny hub w regionie Central US z usługą Azure Firewall. Chcą, aby cały prywatny ruch spoke-to-spoke był normalnie kierowany między szprychami, ale wymagają, aby cały ruch wychodzący do Internetu ze szprych był sprawdzany przez Azure Firewall huba przed wyjściem. Jaka konfiguracja Virtual WAN to osiągnie?

Prawidłowa odpowiedź osiąga wymagane cele, wykorzystując funkcje Secured Virtual Hub. Ustawienie intencji routingu dla ruchu internetowego na Azure Firewall automatycznie kieruje ruch internetowy przez zaporę. Dodatkowo, utworzenie tabeli tras huba ze statyczną trasą 0.0.0.0/0 wskazującą na prywatny adres IP Azure Firewall i skojarzenie jej z połączeniami szprych zapewnia, że cały ruch wychodzący do Internetu ze szprych jest sprawdzany przez zaporę. Ruch spoke-to-spoke jest domyślnie kierowany w Virtual WAN, więc nie wymaga dodatkowej konfiguracji. Pozostałe opcje są nieprawidłowe, ponieważ: Konfiguracja sieciowych grup zabezpieczeń (NSG) nie służy do kierowania ruchu do zapory, a jedynie do filtrowania ruchu na poziomie interfejsu sieciowego lub podsieci. Wdrożenie UDR z następnym przeskokiem 'Internet' nie skieruje ruchu przez Azure Firewall, a wymuszone tunelowanie jest używane głównie do kierowania ruchu do sieci lokalnej, a nie do zapory w chmurze. ExpressRoute Global Reach służy do łączenia obwodów ExpressRoute i nie ma zastosowania do kierowania ruchu internetowego przez Azure Firewall w Virtual WAN.