RetailCo использует архитектуру hub-spoke с защищенным виртуальным хабом (Secured Virtual Hub) и Azure Firewall. Компания хочет, чтобы весь исходящий интернет-трафик из спиц (spokes) проверялся централизованно. Какая конфигурация таблицы маршрутизации хаба обеспечит централизованный исходящий трафик и предотвратит hairpinning или обход из спиц?

Правильный ответ обеспечивает централизованную проверку всего исходящего интернет-трафика через Azure Firewall в защищенном виртуальном хабе. Создание статического маршрута 0.0.0.0/0, указывающего на частный IP-адрес Azure Firewall, и связывание этой таблицы маршрутизации с подключениями спиц гарантирует, что весь трафик из спиц, предназначенный для интернета, будет направляться через Firewall. Настройка намерения маршрутизации явно указывает, что интернет-трафик должен проверяться защищенным хабом, предотвращая обход (hairpinning) и обеспечивая соблюдение политик безопасности. Неправильные варианты: UDR в каждой подсети спицы, направляющий 0.0.0.0/0 на интернет-шлюз, обойдет хаб и Firewall, нарушая централизованную проверку. Azure Route Server используется для динамического обмена маршрутами BGP, но не для принудительного направления всего интернет-трафика через Firewall в хабе без соответствующей конфигурации таблиц маршрутизации хаба. Принудительное туннелирование на VPN-шлюзе VNet спицы используется для Site-to-Site VPN-подключений и не является механизмом для централизованного направления всего интернет-трафика через Azure Firewall в защищенном виртуальном хабе.