Глобальный поставщик SaaS, BlueSun, имеет внутреннее веб-приложение по адресу 10.1.2.10:443 в центральной VNet и хочет опубликовать его в интернете, используя один публичный IP-адрес на Azure Firewall DNAT. Им требуется, чтобы внешняя конечная точка была https://app.bluesun.com, и они хотят, чтобы брандмауэр завершал TLS для проверки IDPS, а затем повторно шифровал трафик для бэкенда, используя существующий внутренний сертификат. Какая конфигурация DNAT и брандмауэра это обеспечит?

Правильный вариант обеспечивает требуемую функциональность. Создание правила DNAT на Azure Firewall, сопоставляющего публичный IP:443 с внутренним IP-адресом 10.1.2.10:443, направляет внешний трафик на внутренний сервер. Включение проверки TLS на брандмауэре с использованием сертификата для app.bluesun.com позволяет брандмауэру расшифровать трафик для проверки IDPS. Затем брандмауэр повторно шифрует трафик для бэкенда, используя тот же сертификат, который должен быть установлен на бэкенд-сервере, обеспечивая сквозное шифрование и проверку. Первый неверный вариант предлагает TLS passthrough, что не позволит брандмауэру выполнять проверку IDPS, так как трафик останется зашифрованным. Третий вариант с Azure Application Gateway WAF перед брандмауэром является избыточным и не соответствует требованию использования одного публичного IP-адреса на Azure Firewall DNAT для публикации. Четвертый вариант с Load Balancer перед брандмауэром также избыточен и не является наиболее прямым способом достижения цели с использованием Azure Firewall DNAT.