VNet1 zawiera subnet1 i AzureFirewallSubnet. Publiczny Azure Firewall (FW1) jest wdrożony, a RT1 to tablica routingu powiązana z Subnet1 z trasą 0.0.0.0/0 wskazującą na FW1. Po wdrożeniu 10 maszyn wirtualnych Windows Server do Subnet1, żadna z nich nie została aktywowana. Co należy zrobić, aby umożliwić aktywację maszyn wirtualnych?

Aby maszyny wirtualne mogły się aktywować, muszą mieć dostęp do usługi Azure Key Management Service (KMS) przez port TCP 1688. Domyślna trasa 0.0.0.0/0 w RT1 kieruje cały ruch wychodzący z Subnet1 do FW1. Jeśli FW1 nie ma reguły zezwalającej na ruch do KMS, maszyny wirtualne nie będą w stanie się aktywować. Dodanie trasy internetowej do RT1, która umożliwia łączność z Azure KMS, zapewni, że ruch aktywacyjny ominie FW1 i dotrze bezpośrednio do usługi KMS. Pozostałe opcje są nieprawidłowe: Utworzenie reguły ruchu wychodzącego z tagiem usługi AzureCloud na FW1 nie jest wystarczające, ponieważ trasa do KMS musi być bezpośrednia, a nie przez firewall, chyba że firewall jest skonfigurowany do przepuszczania tego konkretnego ruchu. Wdrożenie bramy NAT nie rozwiąże problemu z routingiem do usługi KMS. Konfiguracja reguły DNAT (Destination Network Address Translation) na FW1 jest używana do ruchu przychodzącego, a nie wychodzącego, i nie ma zastosowania w tym scenariuszu.