我们正在将环境迁移到 Azure。我们需要 3 台虚拟机：
域控制器Domain Controller
SQL 服务器
RDS 服务器
我试图尽可能简洁。我已经在 DC 和 SQL 服务器上安装了远程管理软件 (Team Viewer)。我现在需要允许大约 5 个用户通过 RDP 客户端连接访问 RDS。我有两个选项可以配置此功能：
选项1
配置上述虚拟机并使用带有 MFA（身份验证器应用程序）的 Azure VPN，以允许我们的用户通过配置了 LAN IP/服务器名称的 RDP 客户端进入 RDS（即 RDS 服务器没有公共 IP）
选项 #2
提供并配置 RDS Web 门户/网关以允许用户访问 RDS 服务器。
我的问题是：
我是否还需要为这两个选项配置 Azure 防火墙？
一般来说，哪种选择更安全和/或更具成本效益？
还有其他可行的选择/建议吗？
就这个问题而言，我仅关注安全性和成本。我知道还需要考虑其他因素，以实现弹性、可用性和备份。但我试图先专注于核心设置，然后再扩展到其他领域。
编辑
现场将没有资源/域控制器。一切都将迁移到 Azure
此外，用户需要能够从任何地方进行连接（而不仅仅是从办公室），并且不会有站点到站点的 VPN