VNet1 contient Subnet1 avec trois machines virtuelles, chacune avec une adresse IP publique. Les applications sont accessibles aux utilisateurs d'Internet via le port 443. Il existe un VPN site à site entre le réseau sur site et VNet1. Les machines virtuelles sont accessibles par RDP depuis Internet et depuis le réseau sur site. Vous devez bloquer le RDP depuis Internet mais autoriser le RDP depuis le réseau sur site, tout en maintenant la disponibilité des applications pour les utilisateurs d'Internet. Que devriez-vous implémenter ?

La création d'une règle de refus dans un groupe de sécurité réseau (NSG) lié à Subnet1 est la solution la plus appropriée. Un NSG permet de filtrer le trafic réseau vers et depuis les ressources Azure. En ajoutant une règle de refus pour le port RDP (3389) provenant d'Internet (source "Any" ou "Internet") et en s'assurant qu'une règle d'autorisation existe pour le trafic RDP provenant du réseau sur site (source l'adresse IP ou la plage d'adresses IP du réseau sur site), vous bloquez efficacement l'accès RDP externe tout en le maintenant pour les utilisateurs internes. Les applications sur le port 443 resteront accessibles car cette règle ne les affecte pas. Supprimer les adresses IP publiques des machines virtuelles empêcherait l'accès aux applications depuis Internet. Modifier l'espace d'adressage de la passerelle de réseau local ou de Subnet1 n'aurait aucun impact sur les règles de trafic RDP.