VNet1 contiene Subnet1 con tre VM, ognuna con un IP pubblico. Le app sono disponibili agli utenti Internet sulla porta 443. Esiste una VPN site-to-site dai sistemi on-premise a VNet1. Le VM sono raggiungibili tramite RDP sia da Internet che dai sistemi on-premise. È necessario bloccare RDP da Internet ma consentire RDP dalla rete on-premise, mantenendo le app disponibili agli utenti Internet. Cosa si dovrebbe implementare?

La risposta corretta è creare una regola di negazione in un gruppo di sicurezza di rete (NSG) collegato a Subnet1. Un NSG consente di filtrare il traffico di rete da e verso le risorse Azure. Creando una regola di negazione per il traffico RDP (porta 3389) proveniente da Internet (origine "Any" o "Internet") e applicandola a Subnet1, si blocca l'accesso RDP da Internet. Poiché la VPN site-to-site è considerata traffico interno, l'accesso RDP dai sistemi on-premise non sarà influenzato da questa regola. Le app sulla porta 443 rimarranno disponibili perché la regola RDP non le riguarda. Modificare lo spazio di indirizzi del gateway di rete locale o di Subnet1 non risolverebbe il problema di sicurezza RDP. Rimuovere gli indirizzi IP pubblici dalle macchine virtuali bloccherebbe l'accesso alle app sulla porta 443 da Internet, il che non è desiderato.