Endpoint e FQDN necessari per Desktop virtuale Azure

Per distribuire Desktop virtuale Azure e consentire agli utenti di connettersi, è necessario consentire FQDN ed endpoint specifici. Gli utenti devono anche essere in grado di connettersi a determinati FQDN ed endpoint per accedere alle risorse di Desktop virtuale Azure. Questo articolo elenca i nomi di dominio completi e gli endpoint necessari da consentire agli host e agli utenti di sessione.

Questi FQDN ed endpoint potrebbero essere bloccati se si usa un firewall, ad esempio il firewall di Azure o un servizio proxy. Per informazioni sull'uso di un servizio proxy con Desktop virtuale Azure, vedere Linee guida per i servizi proxy per Desktop virtuale Azure.

È possibile verificare che le macchine virtuali host della sessione possano connettersi a questi FQDN ed endpoint seguendo la procedura per eseguire lo strumento URL dell'agente Desktop virtuale di Azure in Controllare l'accesso ai nomi di dominio completi e agli endpoint necessari per Desktop virtuale Azure. Lo strumento URL dell'agente di Desktop virtuale Azure convalida ogni FQDN ed endpoint e mostra se gli host di sessione possono accedervi.

Importante

Microsoft non supporta le distribuzioni di Desktop virtuale Azure in cui i nomi di dominio completi e gli endpoint elencati in questo articolo sono bloccati. Questo articolo non include FQDN ed endpoint per altri servizi come Microsoft Entra ID, Office 365, provider DNS personalizzati o servizi di orologeria. Gli endpoint e i FQDN di Microsoft Entra sono disponibili sotto gli ID 46, 56, 59 e 125 negli URL e negli intervalli di indirizzi IP di Office 365, che possono essere necessari in ambienti di rete con restrizioni.

Tag di servizio e tag FQDN

I tag di servizio rappresentano gruppi di prefissi di indirizzi IP di un determinato servizio di Azure. Microsoft gestisce i prefissi degli indirizzi inclusi nel tag di servizio e aggiorna automaticamente il tag di servizio man mano che gli indirizzi cambiano, riducendo al minimo la complessità degli aggiornamenti frequenti delle regole di sicurezza di rete. I tag di servizio possono essere usati nelle regole per i gruppi di sicurezza di rete e il firewall di Azure per limitare l'accesso alla rete in uscita. I tag di servizio possono essere usati anche nelle route definite dall'utente per personalizzare il comportamento di routing del traffico.

Firewall di Azure supporta anche i tag FQDN, che rappresentano un gruppo di nomi di dominio completi (FQDN) associati a Azure ben noti e ad altri servizi Microsoft. Desktop virtuale Azure non dispone di un elenco di intervalli di indirizzi IP che è possibile sbloccare al posto dei nomi di dominio completi per consentire il traffico di rete. Se si usa un firewall di nuova generazione (NGFW), è necessario usare un elenco dinamico creato per gli indirizzi IP di Azure per assicurarsi che sia possibile connettersi. Per altre informazioni, vedere Usare Firewall di Azure per proteggere le distribuzioni di Desktop virtuale Azure.

Desktop virtuale Azure dispone sia di un tag di servizio che di una voce di tag FQDN. È consigliabile usare i tag del servizio e i tag FQDN per semplificare la configurazione della rete di Azure.

Macchine virtuali host sessione

Nella tabella seguente è riportato l'elenco dei nomi di dominio completi e degli endpoint a cui le macchine virtuali host della sessione devono accedere per Desktop virtuale Azure. Tutte le voci sono in uscita; Non è necessario aprire le porte in ingresso per Desktop virtuale Azure. Selezionare la scheda pertinente in base al cloud in uso.

Indirizzo Protocollo Porta in uscita Finalità Codice di matricola
login.microsoftonline.com TCP 443 Autenticazione ai Microsoft Online Services AzureActiveDirectory
51.5.0.0/16 UDP 3478 Connettività RDP inoltrata WindowsVirtualDesktop
*.wvd.microsoft.com TCP 443 Traffico del servizio, inclusa la connettività RDP basata su TCP WindowsVirtualDesktop
catalogartifact.azureedge.net TCP 443 Azure Marketplace AzureFrontDoor.Frontend
*.prod.warm.ingest.monitor.core.windows.net TCP 443 Traffico agente
Output della diagnostica		 AzureMonitor
gcs.prod.monitoring.core.windows.net TCP 443 Traffico agente AzureMonitor
azkms.core.windows.net TCP 1688 Attivazione di Windows Internet
mrsglobalsteus2prod.blob.core.windows.net TCP 443 Aggiornamenti dello stack di agenti e xss (Side-by-side) Storage
wvdportalstorageblob.blob.core.windows.net TCP 443 Supporto del portale di Azure AzureCloud
oneocsp.microsoft.com TCP 80 Certificati AzureFrontDoor.FirstParty
www.microsoft.com TCP 80 Certificati N/D
*.aikcertaia.microsoft.com TCP 80 Certificati N/D
azcsprodeusaikpublish.blob.core.windows.net TCP 80 Certificati N/D
*.microsoftaik.azure.net TCP 80 Certificati N/D
ctldl.windowsupdate.com TCP 80 Certificati N/D
aka.ms TCP 443 Abbreviazione URL Microsoft, usata durante la distribuzione host sessione in Azure locale N/D
*.service.windows.cloud.microsoft TCP 443 Traffico del servizio WindowsVirtualDesktop
*.windows.cloud.microsoft TCP 443 Traffico del servizio N/D
*.windows.static.microsoft TCP 443 Traffico del servizio N/D

IP di comunicazione di Azure Fabric

Le macchine virtuali host sessione e i PC cloud richiedono l'accesso a due indirizzi IP della piattaforma di Azure per recuperare i metadati delle macchine virtuali e inviare segnali di monitoraggio dell'integrità. Questi indirizzi funzionano in modo diverso rispetto ai nomi di dominio completi elencati nella tabella precedente e richiedono una configurazione di rete specifica.

Importante

Questi indirizzi IP sono endpoint della piattaforma interna di Azure. Il traffico diretto a tali indirizzi non deve essere intercettato, proxy o reindirizzato. Le configurazioni di rete che bloccano o reindirizzano questo traffico causeranno errori di provisioning, problemi di monitoraggio dell'integrità e problemi di connessione sia per Desktop virtuale Azure che per Windows 365.

Indirizzo Protocollo Porta in uscita Finalità Tag del servizio
169.254.169.254 TCP 80 Servizio metadati istanza di Azure (IMDS) N/D
168.63.129.16 TCP/UDP 80, 32526 (TCP), 53 (TCP/UDP) Connettività del servizio piattaforma di Azure N/D

Perché questi indirizzi sono diversi

  • 169.254.169.254 (IMDS): Indirizzo locale al collegamento che fornisce i metadati della macchina virtuale e le informazioni sull'identità. Il traffico è accessibile solo dall'interno della macchina virtuale e non lascia mai l'host.

  • 168.63.129.16 (WireServer): Usato dall'agente di macchine virtuali di Azure per i segnali di integrità e la comunicazione della piattaforma principale, inclusi DNS (quando si usa il DNS fornito da Azure) e DHCP. La porta 53 (UDP/TCP) per questo IP è necessaria solo quando si usa il DNS fornito da Azure. Se si configura un DNS personalizzato, le query DNS vengono indirizzate in questa posizione ed è necessario assicurarsi che la connettività ai server DNS sia possibile anche all'interno della rete virtuale.

Questi indirizzi sono disponibili in tutte le aree e i cloud di Azure. Il routing della piattaforma di Azure protegge questo traffico a livello di infrastruttura, quindi le regole del gruppo di sicurezza di rete standard e le route definite dall'utente non influiscono sulla connettività per impostazione predefinita. Esistono tuttavia configurazioni specifiche sia nella configurazione della rete di Azure che nell'host di sessione o nel Cloud PC stesso che è fondamentale evitare. Per ulteriori informazioni, consultare questo documento .

Altri endpoint

Nella tabella seguente sono elencati gli FQDN e gli endpoint facoltativi a cui le macchine virtuali host possono accedere per altri servizi:

Indirizzo Protocollo Porta in uscita Finalità Codice di matricola
login.windows.net TCP 443 Accedere ai Microsoft Online Services e Microsoft 365 AzureActiveDirectory
*.events.data.microsoft.com TCP 443 Servizio di telemetria N/D
www.msftconnecttest.com TCP 80 Rileva se l'host della sessione è connesso a Internet N/D
*.prod.do.dsp.mp.microsoft.com TCP 443 Windows Update N/D
*.sfx.ms TCP 443 Aggiornamenti per il software client di OneDrive N/D
*.digicert.com TCP 80 Controllo della revoca del certificato N/D
*.azure-dns.com TCP 443 Risoluzione DNS di Azure N/D
*.azure-dns.net TCP 443 Risoluzione DNS di Azure N/D
*eh.servicebus.windows.net TCP 443 Impostazioni di diagnostica EventHub

Consiglio

È necessario usare il carattere jolly (*) per i nomi di dominio completi relativi al traffico del servizio.

Per il traffico dell'agente, se si preferisce non usare un carattere jolly, ecco come trovare FQDN specifici da consentire:

  1. Assicurarsi che gli host di sessione siano registrati in un pool di host.
  2. In un host di sessione aprire il Visualizzatore eventi, quindi passare all'agenteWVDdell'applicazione nei registri> di Windows e cercarel'ID> evento 3701.
  3. Sbloccare i nomi di dominio completi disponibili nell'ID evento 3701. I nomi di dominio completi nell'ID evento 3701 sono specifici dell'area. È necessario ripetere questo processo con i nomi di dominio completi pertinenti per ogni area di Azure in cui si vogliono distribuire gli host di sessione.

Intune Assistenza remota endpoint

Se si utilizza Intune Assistenza remota per fornire assistenza remota (affiancamento sessione) per l'ambiente Azure Desktop virtuale, gli host di sessione devono essere in grado di raggiungere anche gli endpoint di rete richiesti dal Assistenza remota, oltre agli endpoint Azure Desktop virtuale elencati in questo articolo. Gli endpoint di Assistenza remota richiesti sono gli stessi sia per le sessioni desktop complete sia per le sessioni RemoteApp. Questi endpoint sono gestiti da Intune. Per l'elenco, vedere Assistenza remota endpoint di rete.

Dispositivi degli utenti finali

Qualsiasi dispositivo in cui si usa uno dei client Desktop remoto per connettersi a Desktop virtuale Azure deve avere accesso ai nomi di dominio completi e agli endpoint seguenti. L'autorizzazione di questi FQDN ed endpoint è essenziale per un'esperienza client affidabile. Il blocco dell'accesso a questi FQDN ed endpoint non è supportato e influisce sulla funzionalità del servizio.

Selezionare la scheda pertinente in base al cloud in uso.

Indirizzo Protocollo Porta in uscita Finalità Cliente(i)
*.service.windows.cloud.microsoft TCP 443 Traffico del servizio Tutti
*.windows.cloud.microsoft TCP 443 Traffico del servizio Tutti
*.windows.static.microsoft TCP 443 Traffico del servizio Tutti
login.microsoftonline.com TCP 443 Autenticazione ai Microsoft Online Services Tutti
51.5.0.0/16 UDP 3478 Connettività RDP inoltrata Tutti
*.wvd.microsoft.com TCP 443 Traffico servizio Tutti
*.servicebus.windows.net TCP 443 Risoluzione dei problemi dei dati Tutti
go.microsoft.com TCP 443 Microsoft FWLinks Tutti
aka.ms TCP 443 Abbreviazione URL Microsoft Tutti
learn.microsoft.com TCP 443 Documentazione Tutti
privacy.microsoft.com TCP 443 Informativa sulla privacy Tutti
*.cdn.office.net TCP 443 Aggiornamenti automatici Desktop di Windows
graph.microsoft.com TCP 443 Traffico servizio Tutti
windows.cloud.microsoft TCP 443 Centro connessioni Tutti
windows365.microsoft.com TCP 443 Traffico servizio Tutti
ecs.office.com TCP 443 Centro connessioni Tutti
*.events.data.microsoft.com TCP 443 Telemetria client Tutti
*.microsoftaik.azure.net TCP 80 Certificati Tutti
www.microsoft.com TCP 80 Certificati Tutti
*.aikcertaia.microsoft.com TCP 80 Certificati Tutti
azcsprodeusaikpublish.blob.core.windows.net TCP 80 Certificati Tutti

Se si usa una rete chiusa con accesso a Internet limitato, potrebbe essere necessario consentire anche i nomi di dominio completi elencati qui per i controlli dei certificati: Dettagli dell'autorità di certificazione di Azure | Microsoft Learn.

Passaggi successivi

  • Ultimo aggiornamento: