VNet1 содержит Subnet1 с тремя виртуальными машинами, каждая из которых имеет публичный IP-адрес. Приложения доступны пользователям Интернета через порт 443. Существует VPN-подключение типа «сеть-сеть» (site-to-site) из локальной сети к VNet1. Виртуальные машины доступны по RDP как из Интернета, так и из локальной сети. Вам необходимо заблокировать RDP из Интернета, но разрешить RDP из локальной сети, при этом сохранив доступность приложений для пользователей Интернета. Что следует реализовать?

Правильный ответ — создать правило запрета в группе безопасности сети (NSG), связанной с Subnet1. NSG позволяют контролировать входящий и исходящий трафик для виртуальных машин. Вы можете создать правило с более высоким приоритетом, запрещающее входящий трафик по порту RDP (3389) из источника "Интернет", но разрешающее его из источника "VPN-подключение" (т.е. из локальной сети). Это позволит сохранить доступность приложений через порт 443 для пользователей Интернета, так как это правило не будет затрагивать порт 443. Изменение адресного пространства шлюза локальной сети или Subnet1 не решит проблему безопасности, так как это не влияет на правила фильтрации трафика. Удаление публичных IP-адресов с виртуальных машин заблокирует доступ к приложениям для пользователей Интернета, что противоречит требованиям задачи.