VNet1には、それぞれパブリックIPを持つ3つのVMを含むSubnet1があります。アプリはポート443を介してインターネットユーザーが利用できます。オンプレミスからVNet1へのサイト間VPNがあります。VMにはインターネットとオンプレミスの両方からRDPで到達できます。インターネットからのRDPをブロックし、オンプレミスネットワークからのRDPを許可し、アプリはインターネットユーザーが引き続き利用できるようにする必要があります。何を実装すべきですか？

正解は、Subnet1にリンクされているネットワークセキュリティグループ（NSG）で拒否ルールを作成することです。NSGは、サブネットまたはNICレベルでトラフィックをフィルタリングするために使用されます。RDP (ポート3389) をインターネットから拒否し、オンプレミスネットワークからのRDPを許可するルールを作成し、ポート443のトラフィックは引き続き許可することで、要件を満たすことができます。 ローカルネットワークゲートウェイのアドレス空間の変更は、オンプレミスネットワークとAzure間のルーティングに影響しますが、特定のポートへのアクセス制御には直接関係ありません。仮想マシンからパブリックIPアドレスを削除すると、インターネットからのアクセスが完全にブロックされ、アプリが利用できなくなります。Subnet1のアドレス空間を変更しても、トラフィックのフィルタリングは行われません。