A VNet1 contém a Subnet1 com três VMs, cada uma com um IP público. Os aplicativos estão disponíveis para usuários da Internet pela porta 443. Há uma VPN site a site do ambiente on-premises para a VNet1. As VMs são acessíveis por RDP tanto da Internet quanto do ambiente on-premises. Você deve bloquear o RDP da Internet, mas permitir o RDP da rede on-premises, mantendo os aplicativos disponíveis para os usuários da Internet. O que você deve implementar?

A criação de uma regra de negação em um Grupo de Segurança de Rede (NSG) vinculado à Subnet1 é a solução correta porque permite controlar o tráfego de entrada e saída para as VMs. Você pode configurar uma regra para negar o tráfego RDP (porta 3389) de qualquer origem da Internet, enquanto permite o tráfego RDP das redes on-premises. Isso mantém os aplicativos acessíveis pela porta 443 da Internet, pois essa porta não seria afetada pela nova regra. Modificar o espaço de endereço do gateway de rede local ou da Subnet1 não resolveria o problema de segurança, pois essas ações não controlam o fluxo de tráfego. Remover os endereços IP públicos das máquinas virtuais impediria o acesso aos aplicativos pela Internet, o que contradiz o requisito de mantê-los disponíveis.