Twoja subskrypcja zawiera Vnet1 z podsieciami Subnet1 i AzureFirewallSubnet, publiczny Azure Firewall FW1 oraz tablicę tras RT1 skojarzoną z Subnet1, która kieruje ruch 0.0.0.0/0 do FW1. Po wdrożeniu 10 maszyn wirtualnych z systemem Windows Server do Subnet1, żadna z maszyn wirtualnych się nie aktywowała. Jaka zmiana pozwoli maszynom wirtualnym ukończyć aktywację systemu Windows?

Poprawna odpowiedź to dodanie trasy internetowej do RT1 dla usługi Azure Key Management Service (KMS). Maszyny wirtualne Windows Server wymagają dostępu do serwera KMS firmy Microsoft w celu aktywacji. Domyślna trasa 0.0.0.0/0 przez Azure Firewall FW1 oznacza, że cały ruch wychodzący jest kierowany przez zaporę. Aby aktywacja powiodła się, zapora musi zezwalać na ruch do serwerów KMS. Dodanie trasy internetowej dla usługi KMS w RT1 zapewni, że ruch aktywacyjny ominie zaporę lub zostanie przez nią odpowiednio przetworzony, jeśli zapora ma odpowiednie reguły. Niepoprawne opcje: Konfiguracja reguły DNAT dla portu 1688 na FW1 jest błędna, ponieważ DNAT służy do przekierowywania ruchu przychodzącego, a aktywacja KMS to ruch wychodzący. Wdrożenie bramy NAT nie rozwiąże problemu, ponieważ ruch nadal będzie kierowany przez FW1, a problemem jest blokowanie ruchu aktywacyjnego. Skojarzenie NSG z Subnet1 zezwalające na ruch wychodzący do portu 1688 jest niewystarczające, ponieważ RT1 nadal kieruje ruch przez FW1, a NSG kontroluje ruch na poziomie interfejsu sieciowego, nie zmieniając routingu.