Qual opção você deve usar para impedir que o tráfego de uma rede virtual do Azure seja roteado para uma conta do Azure Storage pela internet?

Um service endpoint permite que o tráfego de uma rede virtual do Azure acesse diretamente os serviços do Azure (como o Azure Storage) através da rede de backbone do Azure, em vez de rotear pela internet pública. Isso aumenta a segurança e otimiza o desempenho. Um grupo de segurança de rede (NSG) controla o tráfego de rede para e de recursos do Azure, mas não redireciona o tráfego para a rede de backbone do Azure. Um endpoint público é o endereço IP acessível pela internet para um serviço. O Azure VPN Gateway conecta redes locais a redes virtuais do Azure ou conecta redes virtuais entre si, mas não é usado para proteger o tráfego interno entre uma VNet e um serviço do Azure.