Ваша подписка содержит: VNet Vnet1 с подсетями subnet1 и AzureFirewallSubnet, публичный Azure Firewall FW1 и таблицу маршрутизации RT1, связанную с subnet1, с маршрутом 0.0.0.0/0, указывающим на FW1. После развертывания 10 виртуальных машин Windows Server в subnet1 ни одна из них не активируется (активация Windows завершается сбоем). Что следует сделать, чтобы разрешить активацию виртуальных машин?

Правильный ответ — создание правила исходящей сети на FW1, разрешающего трафик к службе Azure Key Management Service (KMS). Виртуальные машины Windows Server в Azure активируются через KMS-серверы Microsoft. Если трафик к этим серверам блокируется брандмауэром, активация завершится неудачей. Создание сетевого правила, разрешающего исходящий трафик к службе KMS, решит эту проблему. Настройка правила DNAT для порта 1688 неверна, так как DNAT используется для входящего трафика, а активация — это исходящий процесс. Развертывание ASG не поможет, поскольку ASG управляет безопасностью на уровне сетевого интерфейса или подсети, но брандмауэр все равно будет блокировать трафик. Создание правила исходящих тегов службы для AzureCloud слишком широко и не нацелено конкретно на проблему активации, хотя может косвенно решить ее, но это менее точное и безопасное решение, чем прямое разрешение KMS.