VNet1 包含 Subnet1，其中有三台虚拟机，每台虚拟机都有一个公共 IP。应用程序通过端口 443 对 Internet 用户可用。有一个从本地到 VNet1 的站点到站点 VPN。虚拟机可以通过 RDP 从 Internet 和本地访问。您必须阻止来自 Internet 的 RDP，但允许来自本地网络的 RDP，同时保持应用程序对 Internet 用户可用。您应该实施什么？

在链接到 Subnet1 的网络安全组 (NSG) 中创建拒绝规则是正确的。NSG 允许您根据源、目标、端口和协议过滤网络流量。通过在 NSG 中创建一条拒绝来自 Internet (源 IP 为 Any 或特定的公共 IP 范围) 且目标端口为 RDP (3389) 的入站流量的规则，您可以阻止来自 Internet 的 RDP 访问。同时，您可以确保允许来自本地网络的 RDP 流量 (通过 VPN 连接，源 IP 为本地网络地址空间)，并且应用程序通过端口 443 仍然对 Internet 用户可用，因为您只拒绝了 RDP 端口的流量。 修改本地网络网关或 Subnet1 的地址空间不会解决 RDP 访问控制问题，它们主要用于网络路由和寻址。从虚拟机中删除公共 IP 地址会阻止所有来自 Internet 的入站连接，包括应用程序的 443 端口，这不符合保持应用程序可用的要求。