VNet1 包含 Azure Firewall (FW1) 和 150 個虛擬機器。VNet1 已連結至私有 DNS 區域 contoso.com，且所有 VM 都已註冊到該區域中。VNet1 透過 ExpressRoute 連線到內部部署。您需要內部部署 DNS 伺服器來解析 contoso.com 私有區域中的名稱。您應該採取哪兩個動作？(請選擇兩項)

要讓內部部署 DNS 伺服器解析 Azure 私有 DNS 區域中的名稱，您需要啟用 Azure Firewall 的 DNS 代理功能，並將內部部署 DNS 伺服器配置為將查詢轉發到防火牆。啟用 DNS 代理 (DNS Proxy) 允許防火牆處理來自內部部署的 DNS 請求，並將其轉發到 Azure 提供的 DNS 服務，該服務能夠解析私有 DNS 區域中的名稱。然後，在內部部署 DNS 伺服器上設定一個指向 FW1 前端 IP 位址的轉發器，確保所有針對 contoso.com 的查詢都會被導向到 Azure Firewall。 修改 VNet1 的 DNS 伺服器設定不足以讓內部部署解析私有區域。針對 FW1 設定自訂 DNS 伺服器會限制防火牆本身的解析能力，而不是啟用代理功能。在內部部署 DNS 伺服器上設定指向 168.63.129.16 的轉發器無法直接解析私有 DNS 區域，因為 168.63.129.16 是 Azure 提供的遞迴解析器，它需要透過 VNet 連結才能解析私有區域。