用途：为 Azure 落地区或工作负载设计网络拓扑与安全控制，把零信任原则应用到网络层，输出中心辐射（或 Virtual WAN）拓扑、NSG 微分段、私有终结点和单一受控出站路径。不适用于防火墙产品本身、VM 加固或单一服务网络配置。
主要能力：
- 拓扑选择：单区域少量订阅用中心辐射；多区域多分支用 Virtual WAN；企业级新建可用 Azure Landing Zones（CAF）；混合场景用中心辐射加 ExpressRoute/VPN 网关；小型单工作负载用单 VNet。中心只放共享服务（防火墙、网关、DNS、Bastion），工作负载放分支。
- 地址规划：按区域/分支分配不重叠的 RFC 1918 网段，预留网关、防火墙、Bastion 子网。
- 分段：子网级 NSG（优于按网卡），用 ASG 分组工作负载而非静态 IP 列表，按 web/app/data 分层微分段；启用 NSG 流日志到 Log Analytics，保留默认拒绝规则。
- 私有终结点：对 Storage、SQL、Key Vault、Cosmos DB 等敏感 PaaS 使用 Private Endpoints/Private Link，并在资源上禁用公网访问（publicNetworkAccess = Disabled），通过私有 DNS 区域解析。
- 集中出站：分支用 UDR 将 0.0.0.0/0 下一跳指向防火墙私网 IP，统一做 FQDN 过滤与日志。
- 公网防护：对含公网 IP 的 VNet 启用 Azure DDoS 网络保护；公网 Web 应用置于 Front Door 或 Application Gateway 的 WAF 之后，生产环境用 Prevention 模式。
- 集中 DNS：私有 DNS 区域从中心链接，分支自动解析 PaaS 私有终结点。
- 管理面防护：禁止从互联网直接 RDP/SSH，使用中心内的 Azure Bastion 或 Defender for Cloud 的即时 VM 访问。
使用方式：按上述步骤依次设计并逐项验证，例如检查有效路由下一跳是否为防火墙、NSG 是否阻断 3389/22、WAF 是否处于 Prevention 模式。
限制与注意：DDoS 网络保护按 VNet 计费，不宜对所有 VNet 全量启用；避免把工作负载放入中心、用服务终结点替代私有终结点、按网卡逐台配置 NSG、WAF 长期停留在 Detection 模式、各分支各自出站公网 IP、延迟部署 Bastion 等反模式。具体价格与配额资料未提供。