您应该使用哪个选项来阻止来自 Azure 虚拟网络的流量通过 Internet 路由到 Azure Storage 账户？

服务终结点（service endpoint）允许您将 Azure 虚拟网络连接到 Azure 服务，例如 Azure 存储账户，并通过 Azure 主干网络直接路由流量，而不是通过公共互联网。这提供了更高的安全性、更低的延迟和更高的带宽。 网络安全组（NSG）用于过滤虚拟网络中的网络流量，但它不能阻止流量通过互联网路由到公共服务。公共终结点（public endpoint）是服务的默认公共可访问接口，它仍然通过互联网路由。Azure VPN 网关（Azure VPN Gateway）用于将本地网络连接到 Azure 虚拟网络，或将不同的 Azure 虚拟网络连接起来，它不直接用于将虚拟网络流量安全地路由到 Azure 存储账户。