Подсеть Subnet1 содержит виртуальные машины и NSG (NSG1) только с правилами по умолчанию. Вам необходимо добавить правило NSG, которое запрещает хостам Subnet1 подключаться к порталу Azure, но при этом разрешает подключения к другим интернет-хостам. Каким должно быть значение Destination для этого правила?

Правильный ответ — «Тег службы». Для блокировки доступа к порталу Azure, но разрешения доступа к другим интернет-ресурсам, следует использовать тег службы AzurePortal. Теги службы представляют собой группы IP-адресов, управляемые Microsoft, что упрощает управление правилами безопасности сети. Использование тега службы AzurePortal автоматически охватывает все IP-адреса, связанные с порталом Azure, без необходимости вручную указывать их. «Группа безопасности приложений» (Application Security Group) используется для группировки виртуальных машин и применения к ним правил безопасности, а не для определения назначения трафика к внешним службам. «IP-адреса» потребовали бы ручного перечисления всех IP-адресов портала Azure, что непрактично и подвержено ошибкам, так как эти адреса могут меняться. «Любой» разрешил бы или запретил бы весь интернет-трафик, что не соответствует требованию избирательной блокировки.