Как ограничить RDP для виртуальных машин Azure только через VPN?

Я имею:

• Виртуальная сеть Azure
• Шлюз виртуальной сети точка-сайт (P2S)
• Подсеть внутри этой сети
• Виртуальная машина внутри подсети
• Группа безопасности сети, членом которой является виртуальная машина, с установленными правилами по умолчанию

Единственный способ, которым я смог подключиться к RDP, - это использовать публичный IP-адрес и установить следующее правило группы безопасности сети:

• Приоритет: 1000
• Имя: default-allow-rdp
• Порт: 3389
• Протокол: TCP
• Источник: любой
• Направление: Любое
• Действие: Разрешить

Моя цель - разрешить пользователям RDP на ВМ только при подключении к VPN. Как мне этого добиться? Бонус: это может быть достигнуто с частным (против публичного) IP-адреса? Я играл с разными источниками (метки обслуживания, пространство IP-адресов VPN), местами назначения (конкретные диапазоны IP-адресов), но безуспешно.

Очевидно, я не хочу, чтобы порт 3389 был открыт для всего мира.