Компания Contoso Ltd. использует Virtual WAN с хабом в регионе West US. Они развернули три спицевые VNet (app-spoke, db-spoke, mgmt-spoke), подключенные к хабу. Команда безопасности требует, чтобы префиксы db-spoke (10.10.2.0/24) никогда не были доступны для app-spoke и mgmt-spoke, но app-spoke при этом должен быть доступен из локальной сети через подключение Site-to-Site VPN, присоединенное к тому же хабу. Как следует настроить таблицы маршрутизации хаба Virtual WAN для достижения этой цели?

Правильный ответ — создание пользовательской таблицы маршрутизации хаба без распространения, добавление статического маршрута для 10.10.2.0/24, указывающего на IP-адрес следующего перехода VPN-подключения локальной сети, и связывание таблицы только с VPN-подключением локальной сети. Это позволяет маршрутизировать трафик из локальной сети к db-spoke, но предотвращает распространение префиксов db-spoke на app-spoke и mgmt-spoke, так как таблица не распространяется на них. Первый вариант неверен, потому что установка следующего перехода в 'None' для 10.10.2.0/24 в таблице, связанной только с db-spoke, не позволит трафику из локальной сети достичь db-spoke. Второй вариант неверен, так как включение распространения только из VPN-подключения локальной сети не скрывает префиксы db-spoke от app-spoke и mgmt-spoke; для этого потребуется более тонкая настройка. Четвертый вариант неверен, потому что Virtual WAN не поддерживает ACL для блокировки распространения маршрутов.