Twoja subskrypcja zawiera VNet1 z subnet1 i AzureFirewallSubnet, publiczny Azure Firewall FW1 oraz tabelę tras RT1 skojarzoną z subnet1, zawierającą trasę 0.0.0.0/0 do FW1. Po wdrożeniu 10 maszyn wirtualnych z systemem Windows Server do subnet1, żaden z systemów operacyjnych maszyn wirtualnych się nie aktywował. Co należy zrobić, aby umożliwić aktywację maszyn wirtualnych?

Prawidłowa odpowiedź to utworzenie wychodzącej reguły sieciowej na FW1 zezwalającej na ruch do usługi Azure Key Management Service (KMS). Maszyny wirtualne z systemem Windows Server wymagają aktywacji, która odbywa się poprzez komunikację z serwerem KMS. Domyślnie ruch wychodzący jest blokowany przez Azure Firewall, jeśli nie ma jawnej reguły zezwalającej. Dlatego należy skonfigurować regułę sieciową na FW1, aby umożliwić ruch do portu 1688 (domyślny port KMS) lub do określonych adresów IP serwerów KMS. Wdrożenie bramy NAT nie rozwiąże problemu, ponieważ ruch nadal będzie musiał przejść przez firewall. Skojarzenie NSG zezwalającej na ruch wychodzący do portu 1688 z subnet1 jest zbędne, ponieważ ruch jest już kierowany przez FW1 za pomocą tabeli tras, a to FW1 decyduje o przepuszczaniu ruchu. Wdrożenie Azure Standard Load Balancer z regułą NAT również nie jest rozwiązaniem, gdyż nie kontroluje on reguł ruchu wychodzącego przez firewall.