Вам не нужно открывать какие-либо порты в NSG для вашей виртуальной машины в VNET для Azure Bastion.Поток трафика выглядит следующим образом:
Клиент с портала через HTTPS -> Azure Bastion в VNET -> Переводит HTTPS в сеанс RDP и перенаправляет трафик на виртуальные машины в той же VNET с частным IP.Таким образом, с точки зрения виртуальной машины трафик будет поступать с IP-адресов экземпляра Azure Bastion.
Вам не нужно вносить какие-либо изменения в вашу среду.Вы можете просто добавить Bastion в свою VNET и RDP на виртуальные машины без публичного IP-адреса с портала.