Azure Firewall развернут в AzureFirewallSubnet, и весь трафик из Subnet2 маршрутизируется через этот брандмауэр. Хосты в Subnet2 должны иметь доступ к внешнему сайту по адресу https://*.contoso.com. Какое изменение следует внести в политику брандмауэра, чтобы разрешить этот доступ?

Для разрешения доступа к внешнему веб-сайту по протоколу HTTPS (порт 443) на основе FQDN (Fully Qualified Domain Name), такому как .contoso.com, необходимо использовать правило приложения Azure Firewall. Правила приложения работают на уровне 7 (прикладном уровне) модели OSI и позволяют фильтровать трафик по FQDN, HTTP/S заголовкам и другим параметрам приложения. Правило DNAT (Destination Network Address Translation) используется для входящего трафика, чтобы перенаправить его на внутренний ресурс, а не для исходящего доступа к внешним сайтам. Группа безопасности сети (NSG) работает на уровне 4 (транспортном уровне) и фильтрует трафик по IP-адресам и портам, но не по FQDN. Сетевое правило также работает на сетевом уровне и использует IP-адреса и порты, а не FQDN.