Две виртуальные машины Windows Server, VM1 и VM2, находятся в Subnet1 VNet1. Необходимо запретить VM1 доступ к VM2 по TCP-порту 3389. Что следует сделать?

Правильный ответ — создать NSG с исходящим правилом, которое запрещает порт назначения 3389, и применить NSG к сетевому интерфейсу VM1. Сетевая группа безопасности (NSG) позволяет фильтровать сетевой трафик к ресурсам Azure и от них. Применение NSG к сетевому интерфейсу VM1 с исходящим правилом, запрещающим TCP-порт 3389, гарантирует, что VM1 не сможет инициировать RDP-соединения (порт 3389) к VM2 или любым другим ресурсам. Развертывание Azure Bastion не решает проблему блокировки трафика между VM1 и VM2, так как Bastion предназначен для безопасного подключения к виртуальным машинам извне, а не для управления внутренним трафиком. Создание NSG с исходящим правилом, которое запрещает исходный порт 3389, некорректно, так как исходный порт для RDP обычно динамический, а блокировать нужно порт назначения. Создание NSG с входящим правилом, которое запрещает исходный порт 3389, также неверно, поскольку это правило будет блокировать входящий трафик на Subnet1, а не исходящий трафик с VM1.