Azure Firewall 部署到 AzureFirewallSubnet，並且來自 Subnet2 的所有流量都透過該防火牆路由。Subnet2 中的主機必須能夠存取 https://*.contoso.com 上的外部網站。您應該對防火牆策略進行哪些更改才能允許此存取？

正確答案是建立一個應用程式規則。Azure Firewall 的應用程式規則允許您根據 FQDN (完整網域名稱) 來篩選 HTTP/S 流量，這正是存取 https://.contoso.com 所需的。 DNAT 規則用於將傳入流量從公用 IP 位址轉譯到私人 IP 位址，與此情境不符。網路安全群組 (NSG) 是用於篩選網路層級 (IP 位址和連接埠) 流量，無法識別 FQDN。網路規則也僅限於篩選網路層級流量，無法處理應用程式層級的 FQDN 篩選。