NovaBank wymaga, aby cały ruch internetowy z sieci wirtualnych Azure (Azure VNets) był sprawdzany przez lokalne urządzenie zabezpieczające. Wdrożyli Azure Firewall w hucie i chcą wymusić tunelowanie ruchu wychodzącego przez obwód ExpressRoute do urządzenia, jednocześnie zezwalając ruchowi usług Azure (np. Azure SQL) na bezpośrednie przechodzenie do Azure bez zawracania przez środowisko lokalne. Jaka kombinacja funkcji Azure Firewall i routingu spełnia to wymaganie?

Poprawna odpowiedź wykorzystuje wymuszone tunelowanie Azure Firewall, kierując ruch do bramy sieci wirtualnej (Virtual Network Gateway), która następnie przesyła go przez ExpressRoute do urządzenia lokalnego. Rozgłaszanie trasy domyślnej (0.0.0.0/0) przez BGP zapewnia, że ruch wychodzący z Azure jest kierowany do środowiska lokalnego w celu inspekcji. Konfiguracja wyjątków tras na urządzeniu lokalnym, opartych na tagach usług Azure, pozwala na bezpośredni dostęp do usług Azure (np. Azure SQL) bez zawracania przez środowisko lokalne, co jest kluczowym wymaganiem. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1 błędnie sugeruje ustawienie trasy 0.0.0.0/0 w tabeli tras huba wskazującej na lokalny adres IP, co nie jest standardowym sposobem konfiguracji wymuszonego tunelowania z Azure Firewall. Opcja 2 sugeruje UDR w sieciach spoke, co nie jest optymalne dla centralnego wymuszonego tunelowania przez Azure Firewall, oraz wyłączenie SNAT, co jest niezwiązane z kierowaniem ruchu przez ExpressRoute. Opcja 4 błędnie kieruje 0.0.0.0/0 do Internetu, co jest sprzeczne z wymogiem wymuszonego tunelowania do środowiska lokalnego.