Contoso Ltd. 在美國西部有一個 Virtual WAN 中心。他們部署了三個連接到該中心的輻射型 VNet (app-spoke、db-spoke、mgmt-spoke)。安全團隊要求 app-spoke 和 mgmt-spoke 永遠不能學習到 db-spoke 的前綴 (10.10.2.0/24)，但 app-spoke 仍然必須可以透過連接到同一個中心的 Site-to-Site VPN 連線從地端存取。您應該如何設定 Virtual WAN 中心路由表來達成此目的？

正確答案透過在自訂中心路由表中為 10.10.2.0/24 建立一個靜態路由，並將其下一跳 (next hop) 指向地端 VPN 連線，然後將此路由表僅關聯到地端 VPN 連線，來實現所需的功能。這確保了只有地端網路可以透過 VPN 存取 db-spoke，而 app-spoke 和 mgmt-spoke 不會從中心路由表學習到 db-spoke 的前綴，因為它們沒有關聯到這個包含 db-spoke 路由的路由表。 第一個選項不正確，因為將下一跳設定為 'None' 會丟棄流量，而不是允許地端存取。第二個選項不正確，因為它會阻止 app-spoke 存取地端網路，且無法選擇性地隱藏 db-spoke 前綴。第四個選項不正確，因為 Virtual WAN 路由表不支援使用 ACL 來控制路由傳播。