検証１：成功パターン
1.Azure VMのNSGのinbound規則でClient IPから3389 port通信を許可します。
（補足：VMのNSGはいつも二つ付いています。NicのNSGとSubnetのNSG。それ両方を穴あけする必要があります。）
2.Test-NetConnectionで疎通確認がTure
PS C:\WINDOWS\system32> Test-NetConnection 20.18.X.X -Port 3389 ComputerName : 20.18.X.X
RemoteAddress : 20.18.X.X
RemotePort : 3389
InterfaceAlias : Wi-Fi
SourceAddress : 192.168.0.3
TcpTestSucceeded : True
3.RDPで接続してみたが、成功です。
ちなみに、好奇心でこのAzure VMからさらにAzure Application Gateway にTest-NetConnectionで疎通確認してみました。同じAzure内部のリソースで何か違うでしょう。
でも結果は同じです。App GW側のNSGが許可していないので、Azure上のVMでもfalseになります。これは予想された挙動です。
検証２：失敗パターン
1.Azure VMのNSGのinbound規則でClient IPから3389 port通信の許可規則を削除します。
2.Test-NetConnectionで疎通確認がFalse
PS C:\WINDOWS\system32> Test-NetConnection 20.18.X.X -Port 3389 ComputerName : 20.18.X.X
RemoteAddress : 20.18.X.X
RemotePort : 3389
InterfaceAlias : Wi-Fi
SourceAddress : 192.168.0.3
PingSucceeded : False
PingReplyDetails (RTT) : 0 ms
TcpTestSucceeded : False
3.RDPで接続してみたが、それも失敗です。
発見：
失敗のパターンでNSG許可しない前提ですが、
AppGWの場合は、TcpTestSucceeded : Falseですが、PingSucceeded : Tureですね。
Azure VMの場合は、両方Falseになります。なぜでしょう。