RetailCo używa architektury hub-spoke z zabezpieczonym wirtualnym hubem (Secured Virtual Hub) z usługą Azure Firewall. Chcą, aby cały ruch wychodzący do Internetu ze spoke'ów był centralnie kontrolowany. Jaka konfiguracja tabeli tras huba zapewni scentralizowany ruch wychodzący i zapobiegnie hairpinningowi lub omijaniu zabezpieczeń ze strony spoke'ów?

Prawidłowa odpowiedź zapewnia scentralizowane sterowanie ruchem wychodzącym do Internetu z sieci spoke, kierując cały ruch 0.0.0.0/0 przez Azure Firewall w zabezpieczonym hubie. Ustawienie intencji routingu (routing intent) dla ruchu internetowego na "Secured Hub" automatycznie konfiguruje trasę 0.0.0.0/0 do Azure Firewall, a skojarzenie tabeli tras z połączeniami spoke gwarantuje, że ruch z tych sieci będzie przestrzegał tej zasady. To zapobiega hairpinningowi (ruch niepotrzebnie wraca do spoke) i omijaniu zabezpieczeń. Pozostałe opcje są nieprawidłowe: Tworzenie UDR w każdej podsieci spoke z 0.0.0.0/0 do bramy internetowej omijałoby Azure Firewall, narażając sieć na zagrożenia. Tryb przezroczysty Firewall nie jest rozwiązaniem dla tego scenariusza. Azure Route Server służy do wymiany tras BGP, ale nie jest podstawowym mechanizmem do wymuszania centralnego routingu internetowego przez Azure Firewall w architekturze Virtual WAN. Tabela tras huba jest do tego przeznaczona. Wymuszone tunelowanie (Forced tunneling) przez VPN Site-to-site jest rozwiązaniem dla ruchu on-premises do Azure, a nie dla ruchu z Azure spoke do Internetu przez zabezpieczony hub.