Explanation:
ボックス1: VM1からパブリックIPアドレスを削除する
VM1 のパブリック IP が動的に設定されている場合、それは Basic SKU のパブリック IP であることを意味します。Standard SKU のパブリック IP はデフォルトで静的に割り当てられ、変更できません。Basic SKU の IP を Standard SKU の LB に関連付けることはできません。関連付ける VM にパブリック IP が割り当てられている場合、バックエンド SLB プールを作成することはできません。プライベート IP については、動的か静的かは関係なく、そのような VM を SLB バックエンド プールに追加できます。
ボックス2: NSGの作成と構成
Standard Load Balancer は、ゼロトラスト ネットワーク セキュリティ モデルを中核として構築されています。Standard Load Balancer はデフォルトでセキュリティ保護されており、お客様の仮想ネットワークの一部です。仮想ネットワークはプライベートかつ分離されたネットワークです。
つまり、Standard Load Balancer と Standard Public IP アドレスは、ネットワーク セキュリティ グループによって開放されない限り、受信フローに対して閉じられます。NSG は、許可されたトラフィックを明示的に許可するために使用されます。仮想マシン リソースのサブネットまたは NIC に NSG がない場合、トラフィックはこのリソースに到達できません。NSG の詳細と、シナリオへの適用方法については、ネットワーク セキュリティ グループに関するページを参照してください。Basic Load Balancer は、既定でインターネットに開放されています。

参照：
https://docs.microsoft.com/en-us/azure/load-balancer/quickstart-load-balancer-standard-public-portal
https://docs.microsoft.com/en-us/azure/ロードバランサー/ロードバランサーの概要

Azure Bastion は、Azure ポータルから仮想マシンへの安全かつシームレスな RDP および SSH アクセスを、パブリック インターネットに公開することなく直接提供するサービスです1。Azure Bastion を使用するには、接続先の仮想マシンと同じ仮想ネットワークにデプロイする必要があります2。
表によると、VNet1 に Bastion1 という Azure Bastion ホストをデプロイしました。そのため、Bastion1 を介して、VNet1 内の任意の仮想マシン、または VNet1 とピアリングされている仮想ネットワークに接続できます。VM1 と VM3 はどちらも VNet1 内にあるため、Bastion1 を介して接続できます。VM2 は VNet2 内にありますが、VNet1 とピアリングされていないため、Bastion1 を介して接続することはできません。

Explanation:

URL パス ベース ルーティングを使用すると、要求の URL パスに基づいてトラフィックをバックエンド サーバー プールにルーティングできます。
質問では、トラフィックが生成される場所から2つの異なるパスが以下のように存在します。
https://adatum.com/internal
https://adatum.com/external
したがって、この場合、Application Gateway の URL パスベースのルーティング機能を使用できます。

参照：
https://docs.microsoft.com/en-us/azure/application-gateway/url-route-overview