两台 Windows Server 虚拟机 VM1 和 VM2 位于 VNet1 的 Subnet1 中。阻止 VM1 通过 TCP 端口 3389 访问 VM2。您应该怎么做？

要阻止 VM1 访问 VM2 的 TCP 端口 3389，最直接且精确的方法是在 VM1 的出站流量上进行控制。创建一个拒绝目标端口 3389 的出站安全组 (NSG) 规则，并将其关联到 VM1 的网络接口，可以确保 VM1 无法发起对任何目标（包括 VM2）的 3389 端口连接。 其他选项不正确的原因： 在 VNet1 中部署 Azure Bastion 与阻止 VM1 访问 VM2 的特定端口无关，Azure Bastion 主要用于通过浏览器安全地连接到虚拟机。 创建一个出站规则拒绝源端口 3389 的 NSG 并将其应用到 Subnet1 是不正确的，因为源端口通常是随机的，且此规则会影响子网中所有虚拟机的出站流量，而不是特定地阻止 VM1 访问 VM2 的 3389 端口。 创建一个入站规则拒绝源端口 3389 的 NSG 并将其应用到 Subnet1 是不正确的，因为入站规则控制进入子网的流量，而此处需要控制的是 VM1 发出的流量。此外，源端口 3389 并不常见于客户端连接，通常是目标端口。