Globalny dostawca SaaS, BlueSun, posiada wewnętrzną aplikację internetową pod adresem 10.1.2.10:443 w sieci VNet typu hub i chce ją opublikować w Internecie, używając pojedynczego publicznego adresu IP na Azure Firewall DNAT. Wymagają, aby zewnętrzny punkt końcowy to https://app.bluesun.com i chcą, aby firewall zakończył TLS w celu inspekcji IDPS, a następnie ponownie zaszyfrował ruch do backendu, używając istniejącego wewnętrznego certyfikatu. Jaka konfiguracja DNAT i firewalla to umożliwi?

Prawidłowa odpowiedź opisuje konfigurację, która spełnia wszystkie wymagania. Reguła DNAT na Azure Firewall przekierowuje ruch z publicznego adresu IP na port 443 do wewnętrznej aplikacji (10.1.2.10:443). Włączenie inspekcji TLS z certyfikatem firewalla dla app.bluesun.com pozwala firewallowi na zakończenie TLS w celu inspekcji IDPS. Wymóg ponownego zaszyfrowania ruchu do backendu przy użyciu istniejącego wewnętrznego certyfikatu oznacza, że backend musi używać certyfikatu dla app.bluesun.com, aby firewall mógł nawiązać nowe połączenie TLS z serwerem. Pierwsza opcja jest nieprawidłowa, ponieważ "przekazywanie TLS (downstream TLS passthrough)" nie jest funkcją Azure Firewall i nie pozwoli na inspekcję TLS. Trzecia opcja, użycie Azure Application Gateway WAF, jest niepotrzebna, ponieważ Azure Firewall może samodzielnie wykonywać inspekcję TLS i DNAT, a pytanie wyraźnie prosi o użycie pojedynczego publicznego adresu IP na Azure Firewall DNAT. Czwarta opcja, użycie Load Balancera przed firewallem, jest również niepotrzebna i dodaje złożoności, ponieważ Azure Firewall może bezpośrednio obsługiwać publiczny adres IP i DNAT.