您的資安團隊會阻擋所有非請求的傳入流量到工作階段主機，並計畫拒絕一般網際網路的輸出。使用者必須連線到 Azure Virtual Desktop，而不能將 RDP 暴露在公用網際網路上。哪兩種組態可以在遵守這些限制的同時啟用連線？(請選擇兩個答案)

Azure Virtual Desktop (AVD) 服務預設使用反向連線，這表示工作階段主機透過 TCP 443 建立對 AVD 服務的輸出連線，而不需要傳入連接埠 3389。因此，允許 TCP 443 輸出到 WindowsVirtualDesktop 服務標籤並拒絕傳入 3389 即可滿足此要求。 此外，啟用 AVD 的 Private Link 並設定私人 DNS，可讓工作階段主機透過 Azure 骨幹網路私下連線到 AVD 服務，而無需透過公共網際網路。這符合拒絕一般網際網路輸出的限制。 將公用 IP 指派給工作階段主機並開啟傳入 3389 會將 RDP 暴露在公用網際網路上，這與要求相悖。Azure Bastion 雖然提供安全的連線，但它本身並不能解決工作階段主機的輸出限制。RDP Shortpath 需要 UDP 埠，且無法在沒有任何輸出網際網路的情況下運作，因為它仍需與 AVD 控制平面通訊。