Duas VMs do Windows Server, VM1 e VM2, residem na Subnet1 da VNet1. Evite que a VM1 acesse a VM2 na porta TCP 3389. O que você deve fazer?

Para impedir que a VM1 acesse a VM2 na porta TCP 3389 (RDP), você precisa de uma Network Security Group (NSG) com uma regra de saída (outbound) na VM1. A regra deve negar o tráfego com porta de destino 3389. Ao aplicar o NSG diretamente à interface de rede da VM1, você garante que essa restrição se aplique especificamente à VM1 ao tentar se conectar a qualquer destino, incluindo a VM2. Implantar o Azure Bastion não impede a comunicação interna entre VMs. Uma regra de saída que negue a porta de origem 3389 não é eficaz, pois a porta de origem é efêmera e não a porta de serviço que você deseja bloquear. Uma regra de entrada que negue a porta de origem 3389 também não é a abordagem correta, pois você quer controlar o tráfego saindo da VM1, não o tráfego entrando na Subnet1.