Prinzipien von Microsoft 365-Netzwerkverbindungen

Dieser Artikel gilt sowohl für Microsoft 365 Enterprise als auch für Office 365 Enterprise.

Bevor Sie mit der Planung Ihres Netzwerks für die Microsoft 365-Netzwerkkonnektivität beginnen, ist es wichtig, die Konnektivitätsprinzipien zu verstehen, um Microsoft 365-Datenverkehr sicher zu verwalten und die bestmögliche Leistung zu erzielen. Dieser Artikel hilft Ihnen, die neuesten Anleitungen zur sicheren Optimierung der Microsoft 365-Netzwerkkonnektivität zu verstehen.

Herkömmliche Unternehmensnetzwerke sind in erster Linie für den Zugriff von Benutzern auf Anwendungen und Daten ausgelegt, die in unternehmenseigenen Rechenzentren mit hoher Perimetersicherheit gehostet werden. Das herkömmliche Modell setzt voraus, dass Benutzer auf Anwendungen und Daten innerhalb des Perimeters des Unternehmensnetzwerks über WAN-Links von Zweigniederlassungen aus oder remote über VPN-Verbindungen zugreifen.

Durch die Einführung von SaaS-Anwendungen wie Microsoft 365 wird eine Kombination aus Diensten und Daten aus dem Netzwerkperimeter heraus verlagert. Ohne Optimierung wird der Datenverkehr zwischen Benutzern und SaaS-Anwendungen durch Latenzen durch die Paketüberprüfung, Spitzkehren für Netzwerke, versehentliche Verbindungen zu geographisch entfernten Endpunkten und andere Faktoren beeinträchtigt. Sie können die optimale Leistung und Zuverlässigkeit von Microsoft 365 sicherstellen, wenn Sie die wichtigsten Optimierungsrichtlinien kennen und implementieren.

In diesem Artikel erfahren Sie mehr über:

• Microsoft 365-Architektur für die Kundenanbindung an die Cloud
• Aktualisierte Prinzipien der Microsoft 365-Konnektivität und Strategien zur Optimierung des Netzwerkverkehrs und der Endbenutzererfahrung
• Der Microsoft 365 Endpoints-Webdienst, mit dem Netzwerkadministratoren eine strukturierte Liste von Endpunkten zur Verwendung in der Netzwerkoptimierung nutzen können
• Leitfaden zum Optimieren der Konnektivität mit Microsoft 365-Diensten
• Vergleichen der Sicherheit des Netzwerkperimeters mit der Endpunktsicherheit
• Inkrementelle Optimierungsoptionen für Microsoft 365-Datenverkehr
• Der Microsoft 365-Konnektivitätstest, ein Tool zum Testen der grundlegenden Konnektivität mit Microsoft 365

Microsoft 365-Architektur

Microsoft 365 ist eine verteilte Software-as-a-Service (SaaS)-Cloud, die Produktivitäts- und Zusammenarbeitsszenarien über eine Vielzahl von Microservices und Anwendungen bietet. Beispiele hierfür sind Exchange Online, SharePoint Online, Microsoft Teams, Office in einem Browser und viele andere. Zwar haben bestimmte Microsoft 365-Anwendungen ihre einzigartigen Funktionen in Bezug auf das Kundennetzwerk und die Konnektivität mit der Cloud, sie haben jedoch alle einige wichtige Prinzipale, Ziele und Architekturmuster gemeinsam. Diese Prinzipien und Architekturmuster für die Konnektivität sind typisch für viele andere SaaS-Clouds. Gleichzeitig unterscheiden sie sich von den typischen Bereitstellungsmodellen von Platform-as-a-Service- und Infrastructure-as-a-Service-Clouds wie Microsoft Azure.

Eines der wichtigsten architektonischen Merkmale von Microsoft 365 (das von Netzwerkarchitekten oft übersehen oder falsch interpretiert wird) ist, dass es sich im Kontext der Art und Weise, wie Benutzer eine Verbindung mit ihm herstellen, um einen wirklich global verteilten Dienst handelt. Der Standort des Microsoft 365-Zielmandanten ist wichtig, um zu wissen, wo Kundendaten in der Cloud gespeichert sind. Die Benutzererfahrung mit Microsoft 365 umfasst jedoch nicht das direkte Herstellen einer direkten Verbindung mit Datenträgern, die die Daten enthalten. Die Benutzererfahrung bei Microsoft 365 (einschließlich Leistung, Zuverlässigkeit und anderer wichtiger Qualitätsmerkmale) bezieht sich auf die Konnektivität über hochgradig verteilte Dienst-Einstiegspunkte, die über Hunderte von Microsoft-Standorten weltweit skaliert werden. In den meisten Fällen wird die beste Benutzererfahrung erreicht, indem dem Kundennetzwerk gestattet wird, Benutzeranforderungen an den nächstgelegenen Microsoft 365-Diensteinstiegspunkt weiterzuleiten. Dies ist vorzuziehen, anstatt eine Verbindung mit Microsoft 365 über einen Ausgangspunktpunkt an einem zentralen Ort oder einer zentralen Region herzustellen.

Bei den meisten Kunden sind Microsoft 365-Benutzer über viele Standorte verteilt. Um die besten Ergebnisse zu erzielen, sollten die in diesem Dokument beschriebenen Grundsätze unter dem Gesichtspunkt des Scale-out-Ansatzes (nicht des Scale-up) betrachtet werden. Dabei liegt der Fokus auch auf der Optimierung der Konnektivität zum nächstgelegenen Präsenzpunkt im globalen Microsoft-Netzwerk, nicht zum geografischen Standort des Microsoft 365-Mandanten. Im Wesentlichen bedeutet dies, dass, auch wenn Microsoft 365-Mandantendaten möglicherweise an einem bestimmten geografischen Standort gespeichert sind, die Microsoft 365-Erfahrung für diesen Mandanten verteilt bleibt. Er kann sich in unmittelbarer Nähe (Netzwerk) zu jedem Endbenutzerstandort befinden, den der Mandant hat.

Prinzipien der Microsoft 365-Konnektivität

Microsoft empfiehlt die folgenden Prinzipien, um eine optimale Konnektivität und Leistung von Microsoft 365 zu erzielen. Verwenden Sie diese Prinzipien der Microsoft 365-Konnektivität, um den Datenverkehr zu verwalten und bei der Herstellung der Verbindung zu Microsoft 365 eine optimale Leistung zu erzielen.

Das Hauptziel des Netzwerkdesigns sollte sein, die Latenz zu minimieren, indem die RTT (Round Trip Time) von Ihrem Netzwerk zum globalen Microsoft-Netzwerk minimiert wird, welches der öffentliche Netzwerkbackbone von Microsoft ist, der alle Microsoft-Rechenzentren mit geringer Latenz und weltweit verteilten Einstiegspunkten für Cloudanwendungen verbindet. Erfahren Sie mehr über das globale Microsoft-Netzwerk unter So erstellt Microsoft sein schnelles und zuverlässiges globales Netzwerk.

Identifizieren und Unterscheiden von Microsoft 365-Datenverkehr

Die Identifizierung von Microsoft 365-Netzwerkdatenverkehr ist der erste Schritt, um diesen Datenverkehr von generischem internetgebundenem Netzwerkdatenverkehr unterscheiden zu können. Die Microsoft 365-Konnektivität kann optimiert werden, indem eine Kombination von Ansätzen wie Netzwerkroutenoptimierung, Firewallregeln und Browser-Proxyeinstellungen implementiert wird. Darüber hinaus ist auch die Umgehung von Netzwerkinspektionsgeräten für bestimmte Endpunkte von Vorteil.

Weitere Informationen zu Microsoft 365-Optimierungsmethoden finden Sie im Abschnitt Optimieren der Konnektivität zu Microsoft 365-Diensten .

Microsoft veröffentlicht alle Microsoft 365-Endpunkte als Webdienst und bietet Anleitungen zur optimalen Nutzung dieser Daten. Weitere Informationen zum Abrufen von und Arbeiten mit Microsoft 365-Endpunkten finden Sie im Artikel Microsoft 365-URLs und IP-Adressbereiche.

Lokaler Ausgang von Netzwerkverbindungen

Lokales DNS und ausgehendes Internet sind von entscheidender Bedeutung, um die Verbindungslatenz zu verringern und sicherzustellen, dass Benutzerverbindungen zum nächstgelegenen Einstiegspunkt für Microsoft 365-Dienste hergestellt werden. In einer komplexen Netzwerktopologie ist es wichtig, sowohl lokales DNS als auch lokalen Internetausgang zusammen zu implementieren.

Vor dem Aufkommen von Clouddiensten wie Microsoft 365 war die Internetkonnektivität der Endbenutzer als Designfaktor in der Netzwerkarchitektur relativ einfach. Wenn Internetdienste und Websites über den Globus verteilt sind, ist die Latenz zwischen den Ausgangspunkten des Unternehmens und einem bestimmten Zielendpunkt weitgehend eine Funktion der geografischen Entfernung.

In einer herkömmlichen Netzwerkarchitektur durchlaufen alle ausgehenden Internetverbindungen das Unternehmensnetzwerk und gehen von einem zentralen Standort aus. Mit der Reifung der Cloudangebote von Microsoft ist eine verteilte Netzwerkarchitektur mit Internetzugriff für die Unterstützung latenzempfindlicher Clouddienste entscheidend geworden. Das globale Microsoft-Netzwerk wurde so entwickelt, dass Latenzanforderungen mit der Infrastruktur verteilter Dienst-Front-Doors erfüllt werden. Dabei handelt es sich um eine dynamische Fabric globaler Einstiegspunkte, die eingehende Clouddienst-Verbindungen zum nächstgelegenen Einstiegspunkt weiterleitet. Damit soll die Länge der "letzten Meile" für Microsoft Cloud-Kunden reduziert werden, indem der Weg zwischen dem Kunden und der Cloud effektiv verkürzt wird.

Unternehmens-WANs sind häufig so konzipiert, dass der Netzwerkverkehr zur Inspektion an eine zentrale Unternehmenszentrale weitergeleitet wird, bevor er zum Internet gelangt, in der Regel über einen oder mehrere Proxyserver. Das folgende Diagramm veranschaulicht eine solche Netzwerktopologie.

Da Microsoft 365 im globalen Microsoft-Netzwerk ausgeführt wird, das Front-End-Server auf der ganzen Welt umfasst, befindet sich häufig ein Front-End-Server in der Nähe des Standorts des Benutzers. Durch die Bereitstellung von lokalem Internetausgang und die Konfiguration interner DNS-Server für die Bereitstellung einer lokalen Namensauflösung für Microsoft 365-Endpunkte kann der für Microsoft 365 bestimmte Netzwerkdatenverkehr eine Verbindung mit Microsoft 365-Front-End-Servern herstellen, die sich so nah wie möglich am Benutzer befinden. Das folgende Diagramm zeigt ein Beispiel für eine Netzwerktopologie, die es Benutzern, die eine Verbindung von der Zentrale, Zweigstelle und entfernten Standorten aus herstellen, ermöglicht, den kürzesten Weg zum nächstgelegenen Microsoft 365-Einstiegspunkt zu nehmen.

Durch Verkürzen des Netzwerkpfads zu Microsoft 365-Einstiegspunkten auf diese Weise können die Konnektivitätsleistung und die Endbenutzererfahrung in Microsoft 365 verbessert werden. Es kann auch dazu beitragen, die Auswirkungen zukünftiger Änderungen an der Netzwerkarchitektur auf die Leistung und Zuverlässigkeit von Microsoft 365 zu verringern.

Außerdem können DNS-Anforderungen zu Wartezeiten führen, wenn sich der antwortende DNS-Server in weiter Entfernung befindet oder ausgelastet ist. Sie können die Latenz bei der Namensauflösung minimieren, indem Sie lokale DNS-Server an Zweigstellen bereitstellen und sicherstellen, dass diese so konfiguriert sind, dass DNS-Einträge entsprechend zwischengespeichert werden.

Während der regionale Ausgang für Microsoft 365 gut funktionieren kann, besteht das optimale Konnektivitätsmodell darin, den Netzwerkausgang immer am Standort des Benutzers bereitzustellen, unabhängig davon, ob es sich um das Unternehmensnetzwerk oder entfernte Standorte wie Wohnungen, Hotels, Cafés und Flughäfen handelt. Dieses Modell für den lokalen direkten Ausgang ist im folgenden Diagramm dargestellt.

Unternehmen, die Microsoft 365 eingeführt haben, können die Architektur verteilter Dienst-Front-Doors des globalen Microsoft-Netzwerks nutzen, indem sie sicherstellen, dass Benutzerverbindungen zu Microsoft 365 den kürzestmöglichen Weg zum nächstgelegenen Einstiegspunkt des globalen Microsoft-Netzwerks verwenden. Bei einer Netzwerkarchitektur mit lokalem Ausgang lässt sich der Microsoft 365-Datenverkehr unabhängig vom Standort des Benutzers über den nächstgelegenen Ausgang leiten.

Die Architektur mit lokalem Ausgang bietet gegenüber dem herkömmlichen Modell folgende Vorteile:

• Bietet optimale Microsoft 365-Leistung durch optimale Routenlänge. Die Endbenutzerverbindungen werden durch die Infrastruktur verteilter Dienst-Front-Doors dynamisch an den nächstgelegenen Microsoft 365-Einstiegspunkt weitergeleitet.
• Verringert die Auslastung der Unternehmensnetzwerkinfrastruktur durch einen lokalen Ausgang
• Sichert Verbindungen auf beiden Enden, indem Clientendpunktsicherheits- und Cloudsicherheitsfeatures verwendet werden.

Vermeiden von Spitzkehren für Netzwerke

Als Faustregel gilt, dass der kürzeste und direkteste Weg zwischen dem Benutzer und dem nächstgelegenen Microsoft 365-Endpunkt die beste Leistung bietet. Eine Netzwerk-Spitzkehre tritt auf, wenn WAN- oder VPN-Datenverkehr, der für ein bestimmtes Ziel bestimmt ist, zuerst zu einem anderen Zwischenstandort geleitet wird (z. B. Sicherheitsstack, Cloud-Zugriffsbroker oder cloudbasiertes Web-Gateway), was zu Latenzen und einer möglichen Weiterleitung zu einem geografisch entfernten Endpunkt führen kann. Netzwerk-Hairpins werden auch durch Ineffizienzen beim Routing/Peering oder suboptimale (Remote-) DNS-Lookups verursacht.

Um sicherzustellen, dass die Microsoft 365-Konnektivität auch im Fall des lokalen Ausgangs keinen Netzwerk-Nadelkurven unterliegt, überprüfen Sie, ob der ISP, der für die Bereitstellung des ausgehenden Internets für den Benutzerstandort verwendet wird, eine direkte Peeringbeziehung mit dem globalen Microsoft-Netzwerk in unmittelbarer Nähe zu diesem Standort hat. Sie können auch das ausgehende Routing so konfigurieren, dass vertrauenswürdiger Microsoft 365-Datenverkehr direkt gesendet wird. Dies steht im Gegensatz zu Proxying oder Tunneling über einen Drittanbieter für Cloud oder Cloud-basierte Netzwerksicherheit, der Ihren in das Internet gerichteten Datenverkehr verarbeitet. Die lokale DNS-Namensauflösung von Microsoft 365-Endpunkten trägt dazu bei, dass für Benutzerverbindungen zusätzlich zum direkten Routing die nächstgelegenen Microsoft 365-Einstiegspunkte verwendet werden.

Wenn Sie cloudbasierte Netzwerk- oder Sicherheitsdienste für Ihren Microsoft 365-Datenverkehr verwenden, stellen Sie sicher, dass das Ergebnis der Nadelkurve ausgewertet und die Auswirkungen auf die Leistung von Microsoft 365 verstanden werden. Dazu können Sie die Anzahl und die Standorte der Dienstanbieterstandorte, über die der Datenverkehr weitergeleitet wird, im Verhältnis zur Anzahl Ihrer Zweigstellen und globalen Microsoft-Netzwerk-Peeringpunkte, die Qualität der Netzwerk-Peering-Beziehung des Dienstanbieters zu Ihrem ISP und Microsoft sowie die Leistungsauswirkungen des Backhauling in der Dienstanbieterinfrastruktur untersuchen.

Aufgrund der großen Anzahl von verteilten Standorten mit Microsoft 365-Einstiegspunkten und deren Nähe zu Endbenutzern kann sich das Routing von Microsoft 365-Datenverkehr an ein Drittanbieternetzwerk oder einen Sicherheitsanbieter negativ auf Microsoft 365-Verbindungen auswirken, wenn das Anbieternetzwerk nicht für optimales Microsoft 365-Peering konfiguriert ist.

Bewerten der Umgehung von Proxys, Geräten zur Datenverkehrsüberprüfung und doppelten Sicherheitstechnologien

Unternehmenskunden sollten ihre Netzwerksicherheits- und Risikosenkungsmethoden speziell für Microsoft 365-Datenverkehr überprüfen und die Sicherheitsfunktionen von Microsoft 365 verwenden, um ihre Abhängigkeit von stark eingreifenden, leistungssenkenden und teuren Netzwerksicherheitstechnologien für Microsoft 365-Netzwerkdatenverkehr zu verringern.

Die meisten Unternehmensnetzwerke erzwingen die Netzwerksicherheit für den Internetverkehr mithilfe von Technologien wie Proxys, TLS-Inspektion, Paketüberprüfung und Systemen zur Verhinderung von Datenverlust. Diese Technologien bieten eine wichtige Risikominderung für generische Internetanforderungen, können jedoch die Leistung, Skalierbarkeit und Qualität der Endbenutzererfahrung bei der Anwendung auf Microsoft 365-Endpunkte erheblich reduzieren.

Microsoft 365 Endpoints-Webdienst

Microsoft 365-Administratoren können ein Skript oder einen REST-Aufruf verwenden, um eine strukturierte Liste von Endpunkten aus dem Microsoft 365 Endpoints-Webdienst zu nutzen und die Konfigurationen von Umkreisfirewalls und anderen Netzwerkgeräten zu aktualisieren. Dadurch wird sichergestellt, dass der für Microsoft 365 gebundene Datenverkehr identifiziert, angemessen behandelt und anders verwaltet wird als der Netzwerkdatenverkehr für generische und oft unbekannte Internetwebsites. Weitere Informationen zur Verwendung des Microsoft 365 Endpunkte-Webdiensts finden Sie im Artikel Microsoft 365-URLs und IP-Adressbereiche.

PAC-Skripts (Proxy Automatic Configuration)

Microsoft 365-Administratoren können PAC-Skripts (Proxy Automatic Configuration) erstellen, die über WPAD oder GPO an Benutzercomputer übermittelt werden können. PAC-Skripts können verwendet werden, um Proxys für Microsoft 365-Anforderungen von WAN- oder VPN-Benutzern zu umgehen, sodass Microsoft 365-Datenverkehr direkte Internetverbindungen verwenden kann, anstatt das Unternehmensnetzwerk zu durchlaufen.

Weitere Informationen zur Verwendung von PAC-Dateien zum Optimieren der Netzwerkkonnektivität auf Clientgeräten finden Sie unter Verwalten von Microsoft 365-Endpunkten.

Microsoft 365-Sicherheitsfunktionen

Microsoft ist transparent hinsichtlich der Sicherheit der Rechenzentren, betrieblicher Sicherheit und Risikominimierung bei Microsoft 365-Servern und den Netzwerkendpunkten, die sie darstellen. Zur Verringerung des Netzwerksicherheitsrisikos stehen integrierte Microsoft 365-Sicherheitsfeatures zur Verfügung, z. B. Microsoft Purview Data Loss Prevention, Antivirus, Multi-Faktor-Authentifizierung, Kunden-Lockbox, Defender für Office 365, Microsoft 365 Threat Intelligence, Microsoft 365 Secure Score, die integrierten Sicherheitsfeatures für alle Cloudpostfächerund DDoS-Netzwerksicherheit.

Weitere Informationen zur Sicherheit der Rechenzentren und des globalen Netzwerks von Microsoft finden Sie im Microsoft Trust Center.

Optimieren der Konnektivität zu Microsoft 365-Diensten

Microsoft 365-Dienste sind eine Sammlung dynamischer, voneinander abhängiger und tief integrierter Produkte, Anwendungen und Dienste. Beim Konfigurieren und Optimieren der Konnektivität zu Microsoft 365-Diensten ist es nicht möglich, bestimmte Endpunkte (Domänen) mit einigen Microsoft 365-Szenarien zu verknüpfen, um die Zulassungsliste auf Netzwerkebene zu implementieren. Microsoft unterstützt die selektive Zulassungsliste nicht, da sie zu Konnektivitäts- und Dienstvorfällen für Benutzer führt. Netzwerkadministratoren sollten daher Microsoft 365-Richtlinien für die Auflistung zugelassener Netzwerkinhalte und allgemeine Netzwerkoptimierungen immer auf alle erforderlichen Netzwerkendpunkte (Domänen) anwenden, die regelmäßig veröffentlicht und aktualisiert werden. Während wir Microsoft 365-Netzwerkendpunkte als Reaktion auf Kundenfeedback vereinfachen, sollten Netzwerkadministratoren die folgenden Kernmuster in der vorhandenen Gruppe von Endpunkten kennen:

• Wenn möglich, enthalten die veröffentlichten Domänenendpunkte Platzhalter, um den Netzwerkkonfigurationsaufwand für Kunden erheblich zu reduzieren.
  • Microsoft 365 hat eine Initiative zur Domänenkonsolidierung (cloud.microsoft) angekündigt, die Kunden eine Möglichkeit bietet, ihre Netzwerkkonfigurationen zu vereinfachen und automatisch Netzwerkoptimierungen für diese Domäne für viele aktuelle und zukünftige Microsoft 365-Dienste zu sammeln.
  • Ausschließliche Verwendung der cloud.microsoft-Stammdomäne für Sicherheitsisolation und bestimmte Funktionen. Dies ermöglicht es den Netzwerk- und Sicherheitsteams der Kunden, Microsoft 365-Domänen zu vertrauen, während die Konnektivität zu diesen Endpunkten verbessert und unnötige Netzwerksicherheitsprozesse vermieden werden.
  • Bestimmte Endpunktdefinitionen geben eindeutige IP-Präfixe an, die ihren Domänen entsprechen. Diese Funktion unterstützt Kunden bei komplizierten Netzwerkstrukturen und ermöglicht es ihnen, präzise Netzwerkoptimierungen durch die Verwendung von IP-Präfixdetails anzuwenden.

Die folgenden Netzwerkkonfigurationen werden für alle erforderlichen Microsoft 365 Netzwerkendpunkte (Domänen) und Kategorien empfohlen:

• Explizites Zulassen von Microsoft 365-Netzwerkendpunkten in den Netzwerkgeräten und -diensten, die Benutzerverbindungen durchlaufen (z. B. Sicherheitsgeräte für den Netzwerkperimeter wie Proxys, Firewalls, DNS, Cloud-basierte Netzwerksicherheitslösungen usw.)
  • Umgehen von Microsoft 365-Domänen vor TLS-Entschlüsselung, Abfangen von Datenverkehr, Deep Packet Inspection sowie Filterung von Netzwerkpaketen und -inhalten. Beachten Sie, dass viele Ergebnisse, für die Kunden diese Netzwerktechnologien im Kontext von nicht vertrauenswürdigen/nicht verwalteten Anwendungen verwenden, nativ durch Microsoft 365-Sicherheitsfeatures erzielt werden können.
  • Der direkte Internetzugang sollte für die Microsoft 365-Domänen priorisiert werden, indem die Abhängigkeit vom WAN-Backhauling (Wide Area Network) verringert, Netzwerk-Nadelkurven vermieden und ein effizienterer ausgehender Internetausgang lokal für die Benutzer und direkt zum Microsoft-Netzwerk ermöglicht wird.
  • Stellen Sie sicher, dass die DNS-Namensauflösung in der Nähe des Netzwerkausgangs erfolgt, um sicherzustellen, dass Verbindungen über die optimale Microsoft 365 Front Door bedient werden.
  • Priorisieren Sie Microsoft 365-Verbindungen entlang des Netzwerkpfads, um die Kapazität und Servicequalität für Microsoft 365-Erlebnisse sicherzustellen.
  • Umgehen Sie Verkehrszwischenverwaltungsgeräte wie Proxys und VPN-Dienste.

Der Microsoft 365-Konnektivitätsleitfaden ist auf die domänenbasierte Endpunktidentifikation ausgelegt. Microsoft empfiehlt die Verwendung der veröffentlichten Domänenendpunktdaten https://aka.ms/m365endpoints als primäre Quelle für die Microsoft 365-Netzwerkkonfiguration, die Zulassungsliste und die Konnektivitätsoptimierung.

Einige Kunden mit komplexen Netzwerktopologien verwenden möglicherweise auch veröffentlichte IP-Präfixdaten, sofern verfügbar, um spezifische Netzwerkoptimierungen wie benutzerdefiniertes Routing, VPNs mit geteiltem Tunnel und Proxyumgehung zu unterstützen. Während Microsoft IP-Präfixe für einige Microsoft 365-Dienste veröffentlicht, sind viele Clouddienstendpunkte dynamischer Natur, und die zugehörigen IP-Adressen können sich im Laufe der Zeit ändern. Für diese Endpunkte werden nur domänenbasierte Endpunktdaten veröffentlicht, und es werden keine entsprechenden IP-Adressinformationen bereitgestellt.

Zusätzliche Überlegungen zu Netzwerken

Beim Optimieren der Konnektivität zu Microsoft 365 können sich bestimmte Netzwerkkonfigurationen negativ auf die Verfügbarkeit, Interoperabilität, Leistung und Benutzererfahrung von Microsoft 365 auswirken. Microsoft hat die folgenden Netzwerkszenarien nicht mit unseren Diensten getestet, und es ist bekannt, dass sie Konnektivitätsprobleme verursachen.

• TLS-Beendigung oder Deep Packet Inspection von Microsoft 365-Domänen mit Kundenproxys oder anderen Arten von Netzwerkgeräten oder -diensten.
• Blockieren bestimmter Protokolle oder Protokollversionen wie QUIC, WebSocket usw. durch zwischengeschaltete Netzwerkinfrastruktur oder -dienst.
• Erzwingen eines Downgrades oder Failovers von Protokollen (wie UDP –> TCP, TLS1.3 –> TLS1.2 –> TLS1.1), die zwischen Clientanwendungen und Microsoft 365-Diensten verwendet werden.
• Routing von Verbindungen über die Netzwerkinfrastruktur mit Anwendung einer eigenen Authentifizierung, z. B. Proxyauthentifizierung.

Wir empfehlen Kunden, die Verwendung dieser Netzwerktechniken für Datenverkehr an Microsoft 365-Domänen zu vermeiden und diese für Microsoft 365-Verbindungen zu umgehen.

Microsoft empfiehlt, ein automatisiertes System einzurichten, um die Microsoft 365-Netzwerkendpunktliste regelmäßig herunterzuladen und anzuwenden. Weitere Informationen finden Sie unter Änderungsverwaltung für Microsoft 365 IP-Adressen und URLs .

Vergleichen der Sicherheit des Netzwerkperimeters mit der Endpunktsicherheit

Das Ziel der herkömmlichen Netzwerksicherheit ist die Absicherung des Unternehmensnetzwerkperimeters gegen Eindringversuche und böswillige Angriffe. Wenn Organisationen Microsoft 365 einführen, werden einige Netzwerkdienste und -daten teilweise oder vollständig in die Cloud migriert. Wie bei allen grundlegenden Änderungen an der Netzwerkarchitektur erfordert dieser Vorgang eine Neubewertung der Netzwerksicherheit, die neue Faktoren berücksichtigt:

• Wenn Clouddienste eingeführt werden, werden Netzwerkdienste und -daten zwischen lokalen Rechenzentren und der Cloud verteilt und der Perimeterschutz allein ist nicht mehr ausreichend.
• Remotebenutzer stellen zu Unternehmensressourcen sowohl in lokalen Rechenzentren als auch in der Cloud von unkontrollierten Standorten wie Home-Offices, Hotels und Cafés aus eine Verbindung her.
• Speziell entwickelte Sicherheitsfeatures werden zunehmend in Clouddienste integriert und können vorhandene Sicherheitssysteme ergänzen oder ersetzen.

Microsoft bietet eine breite Palette an Microsoft 365-Sicherheitsfunktionen und Anleitungen für die Verwendung bewährter Sicherheitsmethoden, mit denen Sie Daten- und Netzwerksicherheit für Microsoft 365 sicherstellen können. Zu den empfohlenen Best Practices gehören:

• Verwenden der mehrstufigen Authentifizierung (MFA) MFA fügt einer Strategie für sichere Kennwörter eine zusätzliche Schutzebene hinzu, indem Benutzer aufgefordert werden, einen Telefonanruf, eine SMS oder eine App-Benachrichtigung auf ihrem Smartphone nach der korrekten Eingabe ihres Kennworts zu bestätigen.

• Microsoft Defender for Cloud Apps verwenden Konfigurieren Sie Richtlinien, um anomale Aktivitäten nachzuverfolgen und darauf zu reagieren. Richten Sie mit Microsoft Defender for Cloud Apps Warnungen ein, damit Administratoren ungewöhnliche oder riskante Benutzeraktivitäten überprüfen können, z. B. das Herunterladen großer Datenmengen, mehrere fehlgeschlagene Anmeldeversuche oder Verbindungen von unbekannten oder gefährlichen IP-Adressen.

• Konfigurieren Sie die Verhinderung von Datenverlust (DLP) DLP ermöglicht es Ihnen, vertrauliche Daten zu erkennen und Richtlinien zu erstellen, durch die verhindert wird, dass Ihre Benutzer die Daten versehentlich oder absichtlich freigeben. DLP funktioniert übergreifend in Microsoft 365, einschließlich Exchange Online, SharePoint Online und OneDrive, damit Compliance durch die Benutzer ohne Unterbrechung ihres Arbeitsflusses gewährleistet ist.

• Verwenden Sie Kunden-Lockbox Als Microsoft 365-Administrator können Sie Kunden-Lockbox verwenden, um zu steuern, wie ein Microsoft-Supporttechniker während einer Hilfesitzung auf Ihre Daten zugreift. In Fällen, in denen der Techniker zur Erkennung und Behebung eines Problems Zugriff auf Ihre Daten benötigt, ermöglicht Ihnen Kunden Lockbox, die Zugriffsanfrage zu genehmigen oder abzulehnen.

• Sicherheitsbewertung verwenden

Ein Sicherheitsanalysetool, das empfiehlt, was Sie tun können, um das Risiko weiter zu reduzieren. Secure Score überprüft Ihre Einstellungen und Aktivitäten in Microsoft 365 und vergleicht diese mit einer von Microsoft aufgestellten Basislinie. Sie erhalten eine Bewertung basierend darauf, wie gut Sie sich an die bewährten Sicherheitspraktiken halten.

Ein ganzheitlicher Ansatz zur Verbesserung der Sicherheit sollte folgende Aspekte berücksichtigen:

• Verlagern Sie den Schwerpunkt vom Perimeterschutz auf die Endpunktsicherheit, indem Sie cloudbasierte und Office-Client-basierte Sicherheitsfunktionen anwenden.
  • Verkleinern Sie den Sicherheitsperimeter auf das Rechenzentrum
  • Aktivieren Sie eine gleichwertige Vertrauensstellung für Benutzergeräte innerhalb des Büros oder an Remotestandorten
  • Legen Sie den Fokus auf die Absicherung des Datenspeicherorts und des Benutzerstandorts
  • Verwaltete Benutzercomputer haben eine höhere Vertrauensstellung
• Ganzheitliche Verwaltung aller Informationssicherheitsdaten, keine reine Fokussierung auf den Perimeter
  • Definieren Sie das WAN neu und bauen Sie Perimeternetzwerksicherheit auf, indem Sie vertrauenswürdigem Datenverkehr erlauben, Sicherheitsgeräte zu umgehen, und für nicht verwaltete Geräte WLAN-Gastnetzwerke schaffen
  • Reduzierung der Netzwerksicherheitsanforderungen des WAN-Unternehmensrands
  • Einige Geräte für den Netzwerkperimeterschutz wie Firewalls sind weiterhin erforderlich, aber die Auslastung wird reduziert.
  • Stellt lokalen Ausgangspunkt für Microsoft 365-Datenverkehr sicher
• Verbesserungen können inkrementell umgesetzt werden, wie im Abschnitt Inkrementelle Optimierung beschrieben. Einige Optimierungstechniken bieten je nach Netzwerkarchitektur möglicherweise ein besseres Kosten-Nutzen-Verhältnis, und Sie sollten Optimierungen wählen, die für Ihre Organization am sinnvollsten sind.

Weitere Informationen zu Microsoft 365 Security und Compliance finden Sie im Artikel Microsoft 365 Security und Microsoft Purview.

Inkrementelle Optimierung

Wir haben das ideale Netzwerkkonnektivitätsmodell für SaaS weiter oben in diesem Artikel vorgestellt, aber für viele große Unternehmen mit historisch komplexen Netzwerkarchitekturen ist es nicht praktikabel, alle diese Änderungen direkt vorzunehmen. In diesem Abschnitt besprechen wir viele inkrementelle Änderungen, die zur Verbesserung der Leistung und Zuverlässigkeit von Microsoft 365 beitragen können.

Die Methoden, die Sie zur Optimierung des Microsoft 365-Datenverkehrs verwenden, variieren je nach Netzwerktopologie und den von Ihnen implementierten Netzwerkgeräten. Große Unternehmen mit vielen Standorten und komplexen Netzwerksicherheitspraktiken müssen eine Strategie entwickeln, die die meisten oder alle der im Abschnitt Microsoft 365-Konnektivitätsprinzipien aufgeführten Prinzipien enthält, während kleinere Organisationen möglicherweise nur ein oder zwei in Betracht ziehen müssen.

Sie können die Optimierung als inkrementellen Vorgang angehen und die jeweiligen Methoden nacheinander anwenden. In der folgenden Tabelle sind die wichtigsten Optimierungsmethoden nach ihren Auswirkungen auf die Latenz und Zuverlässigkeit für die größte Anzahl von Benutzern aufgeführt.

Verwandte Inhalte

• Microsoft 365 – Überblick über die Netzwerkkonnektivität
• Verwalten von Microsoft 365-Endpunkten
• Microsoft 365-URLs und-IP-Adressbereiche
• Microsoft 365 IP-Adresse und URL Webdienst
• Bewerten der Microsoft 365-Netzwerkkonnektivität
• Netzwerkplanung und Leistungsoptimierung für Microsoft 365
• Microsoft 365-Leistungsoptimierung mithilfe von Baselines und Leistungsverlauf
• Plan zur Problembehandlung für die Leistung für Microsoft 365
• Netzwerke für die Inhaltsübermittlung
• Microsoft 365-Konnektivitätstest
• So erstellt Microsoft sein schnelles und zuverlässiges globales Netzwerk
• Microsoft 365 Netzwerk-Blog