GlobalLogistics необходимо встроить сторонний NVA (виртуальное устройство) в свой транзит Virtual WAN для выполнения глубокой проверки пакетов трафика между спицами (spoke-to-spoke). Они планируют использовать NVA из маркетплейса, который требует фиксированного частного IP-адреса. Как им интегрировать NVA, чтобы трафик через транзит хаба проходил через него?

Правильный ответ — развернуть NVA как масштабируемый набор виртуальных машин в VNet, подключенной к тому же хабу Virtual WAN, добавить статический маршрут в таблицу маршрутизации хаба, который указывает желаемые префиксы на частный IP-адрес NVA, и связать таблицу маршрутизации со спицами, которые должны использовать NVA. Этот метод позволяет перенаправлять трафик между спицами через NVA, используя возможности маршрутизации Virtual WAN. Размещение NVA в отдельной VNet, подключенной к хабу, обеспечивает централизованную проверку. Статический маршрут в таблице маршрутизации хаба направляет трафик к NVA, а связывание таблицы маршрутизации со спицами гарантирует применение этого маршрута. Развертывание NVA в спицевой VNet с пирингом не масштабируется и не использует централизованную маршрутизацию Virtual WAN. Azure Security Center не предназначен для развертывания NVA таким образом. Azure Route Server используется для обмена маршрутами BGP, а не для принудительного прохождения трафика через NVA с фиксированным частным IP-адресом через общедоступный интернет.