Fabrikam 在美國中部執行一個包含 Azure Firewall 的 Secured Virtual Hub。他們希望所有私有的 spoke-to-spoke 流量能在 spoke 之間正常路由，但要求所有來自 spoke 的網際網路綁定流量在出站前必須由 hub 的 Azure Firewall 進行檢查。哪種 Virtual WAN 配置可以實現此目標？

正確答案透過在 Secured Virtual Hub 上設定路由意圖來實現目標。將網際網路流量導向 Azure Firewall，確保所有出站網際網路流量都經過檢查。同時，建立一個包含 0.0.0.0/0 靜態路由（下一跳指向 Firewall 私有 IP）的 Hub 路由表，並將其關聯到 spoke 連線，這確保了所有來自 spoke 的網際網路流量都強制通過防火牆。由於未對私有流量設定強制通過防火牆的規則，spoke-to-spoke 流量可以正常路由。 選項二錯誤，因為 NSG 用於過濾流量，而非路由流量。選項三錯誤，因為將 0.0.0.0/0 路由到 'Internet' 不會強制流量通過 Azure Firewall，且強制通道通常用於將所有流量導向內部部署網路。選項四錯誤，ExpressRoute Global Reach 用於啟用 ExpressRoute 之間的路由，與透過 Azure Firewall 檢查網際網路流量無關。