Usługa Azure Firewall jest wdrożona w podsieci AzureFirewallSubnet, a cały ruch z Subnet2 jest kierowany przez tę zaporę. Hosty w Subnet2 muszą mieć dostęp do zewnętrznej witryny pod adresem https://*.contoso.com. Jaką zmianę należy wprowadzić w zasadach zapory, aby umożliwić ten dostęp?

Prawidłowa odpowiedź to utworzenie reguły aplikacji. Reguły aplikacji w usłudze Azure Firewall służą do filtrowania ruchu HTTP/S i SSH na podstawie nazwy FQDN (Fully Qualified Domain Name). Ponieważ hosty w Subnet2 muszą uzyskać dostęp do zewnętrznej witryny internetowej pod adresem HTTPS (.contoso.com), reguła aplikacji jest odpowiednim mechanizmem do zezwolenia na ten ruch. Reguła DNAT (Destination Network Address Translation) jest używana do tłumaczenia przychodzącego ruchu z publicznego adresu IP na prywatny adres IP w sieci wirtualnej, co nie jest wymagane w tym scenariuszu. Sieciowa grupa zabezpieczeń (NSG) filtruje ruch na poziomie warstwy 3 i 4 (adresy IP i porty), ale nie na podstawie nazw FQDN, więc nie zapewniłaby precyzyjnej kontroli wymaganej dla .contoso.com. Reguła sieciowa filtruje ruch na podstawie adresów IP, protokołów i portów, co również nie pozwala na filtrowanie oparte na nazwach FQDN.