有兩台 Windows Server VM，VM1 和 VM2，位於 VNet1 的 Subnet1 中。您需要防止 VM1 透過 TCP port 3389 存取 VM2。您該怎麼做？

正確答案是建立一個 NSG，其中包含拒絕目標連接埠 3389 的 outbound 規則，並將該 NSG 套用至 VM1 的網路介面。這能確保從 VM1 發出的流量，若目標是 TCP 3389，將被阻擋，從而防止 VM1 存取 VM2 的 RDP 服務。 部署 Azure Bastion 無法直接控制 VM 間的流量。建立拒絕來源連接埠 3389 的 outbound 規則，會阻擋 VM1 嘗試從其自身的 3389 連接埠發出的流量，這不是我們想要阻止的行為。建立拒絕來源連接埠 3389 的 inbound 規則並套用至 Subnet1，會阻擋所有嘗試從來源連接埠 3389 進入 Subnet1 的流量，這與防止 VM1 存取 VM2 的目標不符，且來源連接埠通常是隨機的。