假設有多個虛擬網路，且 Azure Firewall 部署在 VNet3 中，您必須強制從 Subnet1-1 到 Subnet2-1 的流量都經過防火牆。哪種組態可以達成此目的？

正確答案是「與 Subnet1-1 和 Subnet2-1 關聯的路由表」。為了強制流量通過 Azure Firewall，您必須在來源子網路 (Subnet1-1) 和目的地子網路 (Subnet2-1) 上設定使用者定義路由 (UDR)。這些路由會將流量的下一個躍點指向 Azure Firewall 的私人 IP 位址。 「VNet1 和 VNet2 之間的 peering links」僅提供虛擬網路之間的連線，但不會強制流量通過防火牆。 「Azure Private DNS zone」用於名稱解析，與流量路由無關。 「與 AzureFirewallSubnet 關聯的路由表」是錯誤的，因為 Azure Firewall 部署在 AzureFirewallSubnet 中，其本身不需要額外的路由來引導流量進入自身。路由應設定在需要流量通過防火牆的子網路。