Descripción de los requisitos de conectividad de Windows 365: conectividad en la nube

Este documento se centra en la conectividad y optimización necesarias en el lado Windows 365 para garantizar el aprovisionamiento y el funcionamiento correctos de los equipos en la nube.

Introducción

Comprender Windows 365 requisitos de conectividad es fundamental para lograr un rendimiento y confiabilidad óptimos en la implementación de la organización.

Los requisitos de conectividad de servicio se dividen en tres áreas:

• Conectividad rdp

• Conectividad de servicio del lado en la nube (este documento)

• Conectividad de cliente físico

Opciones de implementación

Windows 365 ofrece dos modelos de implementación para la conectividad de red en la nube. El esfuerzo técnico varía significativamente entre ellos. Para obtener más información, consulte la documentación de Opciones de implementación .

Microsoft Hosted Network es la opción recomendada debido a lo siguiente:

• Configuración automática: Microsoft proporciona toda la conectividad de red subyacente.

• Infraestructura administrada: Microsoft controla el mantenimiento, las actualizaciones y la seguridad.

• Seguro por diseño: no hay conectividad entrante ni tráfico entre equipos en la nube.

• Baja complejidad: las dependencias mínimas del lado cliente permiten una implementación rápida.

• Alta flexibilidad: ideal para escenarios de configuración rápida o continuidad empresarial.

• Menor costo: Microsoft proporciona la infraestructura de red subyacente.

La elección de esta opción simplifica enormemente la configuración y el funcionamiento de la conectividad, y debe ser la opción predeterminada a menos que se requiera el modelo de conexión de red (ANC) de Azure.

Azure conexión de red (ANC). ANC requiere una configuración de red completa y mantenimiento en el lado del cliente:

• Red administrada por el cliente: configure el enrutamiento, las reglas y la seguridad en su propia red virtual, dentro de su propia suscripción Azure.

• Mantenimiento continuo: más allá de Azure valores predeterminados, el equipo de red administra las actualizaciones y el mantenimiento general.

• Responsabilidad de seguridad: el equipo protege la red.

• Azure experiencia en red necesaria: Azure aptitudes de red necesarias para implementar y operar la red subyacente.

• Tiempos de implementación más largos: mayor sobrecarga y menor flexibilidad.

• Costos de red: Los elementos de red, incluidos el ancho de banda y los firewalls, se facturan a la suscripción de Azure.

Hay dos elementos que debe comprender al configurar la conectividad en el equipo en la nube y estos elementos difieren en función de la opción de implementación elegida:

• Requisitos de red subyacentes: configuración de la red subyacente en la que se encuentra la tarjeta de red virtual del equipo en la nube.

• Configuración del equipo en la nube: la configuración de red aplicada al propio equipo en la nube, como proxy, VPN o software de Secure Web Gateway (SWG).

Requisitos de conectividad de red hospedada de Microsoft

Requisitos de red subyacentes:

No se requiere ninguna configuración porque Microsoft administra completamente la infraestructura en su nombre.

Configuración del equipo en la nube:

El software VPN y Secure Web Gateway (SWG) puede afectar al flujo de tráfico y desviarlo de una ruta de acceso directa a través de la red subyacente. Siga estas directrices para garantizar un alto rendimiento y confiabilidad:

1. Optimice el tráfico RDP omitiendo túneles VPN/SWG y enrutando directamente a la red troncal de Microsoft.

2. Omita otros puntos de conexión necesarios de túneles VPN/SWG para el acceso directo al servicio siempre que sea posible.

3. Asegúrese de que los puntos de conexión sigan siendo accesibles si el tráfico se enruta involuntariamente a través de VPN/SWG, por ejemplo, asegurándose de que se permiten y no se inspeccionan a través de la solución SWG.

4. Configure túneles previos al inicio de sesión o de máquina para omitir los puntos de conexión necesarios. No hacerlo afecta a la disponibilidad del equipo en la nube, ya que se requiere conectividad antes de que un usuario inicie sesión en su equipo en la nube.

5. Considere la posibilidad de omitir VPN/SWG para otro tráfico de Microsoft 365 que se beneficie del enrutamiento directo, como el tráfico de Microsoft 365. La red de Microsoft proporciona una ruta de acceso de baja latencia de ancho de banda alto a estos servicios.

En el ejemplo siguiente, vemos un equipo en la nube implementado por Microsoft Hosted Network con el software Secure Web Gateway instalado.

• La ruta de acceso 1, que se muestra como una línea verde discontinua, envía RDP y otros puntos de conexión clave directamente a la red de Microsoft, omitiendo el túnel SWG. Esta ruta directa mejora el rendimiento y la confiabilidad evitando el tráfico que se desplaza a través del SWG.

• La ruta de acceso 2, que se muestra como una línea azul sólida, envía el resto del tráfico a través del túnel SWG o la solución de acceso privado cuando sea necesario. La red de alta velocidad de Microsoft se empareja directamente con Internet para llegar a servicios externos.

Diagrama 1: ANC con RDP optimizado y Azure Firewall ruta de acceso predeterminada local.

Requisitos de conectividad de conexión de red Azure (ANC)

Para mantener la confiabilidad y el rendimiento de las implementaciones de ANC, asegúrese de que se han implementado las siguientes configuraciones de procedimientos recomendados. Dado que la red subyacente de esta opción de implementación está completamente dentro de su propia suscripción Azure, hay un número considerable de requisitos para asegurarse de que están en vigor. Consulte este documento para obtener instrucciones sobre cómo crear inicialmente un ANC.

Requisitos de red subyacentes:

1. Asigne suficiente espacio IP: Se recomienda el doble del número máximo de equipos en la nube. Mantenga al menos un 50 % gratis en escenarios de recuperación ante desastres en los que es posible que sea necesario volver a aprovisionar todos los equipos en la nube.

2. Configuración de DNS: Use Azure DNS o un servidor DNS personalizado accesible. Asegúrese de que la resolución de nombres sea sólida y se recomienda usar varios servidores DNS para la redundancia y la alta disponibilidad.

3. Deshabilitación de la inspección de TLS: No se debe inspeccionar el tráfico a los puntos de conexión necesarios ; La intercepción de TLS interrumpe los flujos críticos.

4. Use ExpressRoute o VPN de sitio a sitio solo para el tráfico local: Circuitos de escalado para Windows 365 carga. Use la interrupción de Azure local para el resto del tráfico siempre que sea posible.

5. Enrutar los puntos de conexión necesarios a una salida en Azure: evite el enrutamiento a través del entorno local, ya que, al hacerlo, proporciona una ruta de acceso ineficaz, lo que puede provocar problemas de rendimiento o confiabilidad. Use etiquetas FQDN para automatizar las reglas si usa Azure Firewall.

6. Aplique reglas basadas en FQDN en cualquier aplicación virtual de red (NVA) usada: Muchos puntos de conexión no se pueden representar como intervalos IP; configure las reglas en consecuencia.

7. Use NAT Gateway en lugar de una NVA como Azure Firewall para el tráfico saliente crítico de larga duración, como el tráfico RDP y VPN/SWG: una puerta de enlace NAT proporciona la ruta de acceso más optimizada para este tráfico crítico y evita los problemas causados por la carga en el firewall o la reducción vertical que provoca conexiones eliminadas.

8. Configure las rutas definidas por el usuario (UDR) para el enrutamiento directo del tráfico RDP: Uso de la etiqueta de WindowsVirtualDesktop servicio para dirigir el tráfico RDP a la puerta de enlace NAT

9. Asigne varias direcciones IP públicas a la puerta de enlace NAT: Varias direcciones IP distribuyen el tráfico entre las direcciones IP usadas y evita los desencadenadores de protección contra DDoS.

10. Compruebe los grupos de seguridad de red (NSG): Asegúrese de que no bloquean los puntos de conexión necesarios.

11. No se requiere conectividad de entrada: Todo el tráfico es saliente.

12. Ejecute la comprobación de estado de ANC: Valide la configuración y corrija los problemas antes de aprovisionar equipos en la nube.

Diagrama 2: ANC con RDP optimizado y Azure Firewall ruta de acceso predeterminada.

En este diagrama se muestran tres rutas principales configuradas desde la red virtual (VNet) Azure:

Ruta predeterminada (UDR de ruta definida por el usuario 0.0.0.0/0) Envía todo el tráfico a la dirección IP privada del Azure Firewall, que se convierte en la ruta de acceso predeterminada. El firewall permite el tráfico aprobado a la red de Microsoft e Internet según sea necesario. Use esta ruta de acceso para otros puntos de conexión de servicio de Windows 365 que no requieren un control especial.

1. Ruta optimizada para el tráfico RDP Un UDR más específico envía la etiqueta de WindowsVirtualDesktop servicio a "Internet", que en este ejemplo usa una puerta de enlace NAT. Esta ruta de acceso está optimizada para RDP y también debe usarse para el tráfico de larga duración o sensible a la latencia que no necesita atravesar el firewall. "Internet" no significa que este tráfico llegue a la red pública de Internet para los puntos de conexión hospedados por Microsoft.

2. Ruta local La puerta de enlace de ExpressRoute proporciona una ruta más específica para el tráfico local, por ejemplo, cualquier elemento del 10.0.0.0/8 intervalo.

Consulte el documento Uso de Azure Firewall para administrar y proteger entornos de Windows 365 para obtener más detalles.

Configuración del equipo en la nube

Como sucede con las implementaciones de Microsoft Hosted Network, aunque la red subyacente esté configurada correctamente, los cambios en la conectividad de red en el propio equipo en la nube pueden afectar a la implementación, el rendimiento y la confiabilidad. Asegúrese de que también se siguen los pasos siguientes para las implementaciones de ANC.

1. Optimice el tráfico RDP omitiendo túneles VPN/SWG y enrutando directamente a la red troncal de Microsoft a través de la red ANC.

2. Omita los puntos de conexión necesarios de túneles VPN/SWG para el acceso directo al servicio.

3. Asegúrese de que los puntos de conexión siguen siendo accesibles si el tráfico se enruta involuntariamente a través de VPN/SWG. Por ejemplo, asegúrese de que los puntos de conexión se agregan a listas de permitidos.

4. Configure túneles previos al inicio de sesión o de máquina para omitir los puntos de conexión necesarios. Si no lo hace, afecta a la disponibilidad del equipo en la nube.

5. Considere la posibilidad de omitir VPN/SWG para otro tráfico de Microsoft 365 que se beneficie del enrutamiento directo, como el tráfico de Microsoft 365.