Principi di connettività di rete di Microsoft 365

Questo articolo può essere applicato sia a Microsoft 365 Enterprise che a Office 365 Enterprise.

Prima di iniziare a pianificare la rete per la connettività di rete di Microsoft 365, è importante comprendere i principi di connettività per gestire in modo sicuro il traffico di Microsoft 365 e ottenere le migliori prestazioni possibili. Questo articolo illustra le indicazioni più recenti per ottimizzare in modo sicuro la connettività di rete di Microsoft 365.

Le reti tradizionali aziendali sono progettate principalmente per fornire agli utenti accesso ad applicazioni e dati ospitati in centri dati aziendali gestiti con un livello di sicurezza perimetrale elevato. Il modello tradizionale presuppone che gli utenti accedano ad applicazioni e dati all'interno del perimetro della rete aziendale, tramite collegamenti WAN dalle filiali o da remoto tramite connessioni VPN.

L'adozione di applicazioni SaaS, come Microsoft 365, consente di spostare una combinazione di servizi e dati all'esterno del perimetro di rete. Senza ottimizzazione, il traffico tra gli utenti e le applicazioni SaaS è soggetto a una latenza introdotta dall'ispezione dei pacchetti, fenomeni di hairpinning di rete, connessioni accidentali a endpoint geograficamente lontani e ad altri fattori. È possibile garantire migliori prestazioni e affidabilità di Microsoft 365 comprendendo ed implementando le linee guida chiave per l'ottimizzazione.

In questo articolo verranno fornite informazioni su:

• Architettura di Microsoft 365 siccome si applica alla connettività dei clienti al cloud
• Principi di connettività Microsoft 365aggiornati e strategie per ottimizzare il traffico di rete e l’esperienza utente finale
• Il servizio Web Microsoft 365 Endpoints, che consente agli amministratori di rete di utilizzare un elenco strutturato di endpoint da usare nell'ottimizzazione della rete
• Indicazioni per ottimizzare la connettività ai servizi di Microsoft 365
• Confronto tra la sicurezza perimetrale di rete e sicurezza degli endpoint
• Opzioni di ottimizzazione incrementale per il traffico di Microsoft 365
• Test di connettività di Microsoft 365, uno strumento per testare la connettività di base a Microsoft 365

Architettura Microsoft 365

Microsoft 365 è un cloud SaaS (Software-as-a-Service) distribuito che offre scenari di produttività e collaborazione tramite un set diversificato di microservizi e applicazioni. Esempi includono Exchange Online, SharePoint Online, Microsoft Teams, Office in un browser e molti altri. Sebbene specifiche applicazioni di Microsoft 365 possano avere le loro caratteristiche univoche in quanto si applicano alla rete dei clienti e alla connettività al cloud, tutte condividono alcuni principi, obiettivi e modelli di architettura chiave. Questi principi e modelli di architettura per la connettività sono tipici di molti altri cloud SaaS. Allo stesso tempo, sono diversi dai tipici modelli di distribuzione dei cloud Platform-as-a-Service e Infrastructure-as-a-Service, come Microsoft Azure.

Una delle caratteristiche architetturali più significative di Microsoft 365 (che spesso non viene rilevata o interpretata in modo errato dagli architetti di rete) è che si tratta di un servizio distribuito veramente globale, nel contesto del modo in cui gli utenti si connettono ad esso. La posizione del tenant di Microsoft 365 di destinazione è importante per comprendere la località in cui sono archiviati i dati dei clienti all'interno del cloud. Tuttavia, l'esperienza utente con Microsoft 365 non implica la connessione diretta ai dischi contenenti i dati. L'esperienza utente con Microsoft 365, incluse prestazioni, affidabilità e altre importanti caratteristiche di qualità, prevede la connettività attraverso porte di servizio ampiamente distribuite che si espandono orizzontalmente in centinaia di sedi Microsoft in tutto il mondo. Nella maggior parte dei casi, la migliore esperienza utente si ottiene consentendo alla rete del cliente di instradare le richieste degli utenti al punto di ingresso del servizio Microsoft 365 più vicino. Questa operazione è preferibile rispetto a quella di connettersi a Microsoft 365 tramite un punto di uscita in una posizione o un'area centrale.

Per la maggior parte dei clienti, gli utenti Microsoft 365 sono distribuiti in diverse località. Per ottenere i migliori risultati, i principi delineati in questo documento dovrebbero essere considerati dal punto di vista dello scale-out (non dello scale-up). Concentrandosi anche sull'ottimizzazione della connettività al punto di presenza più vicino nella Rete globale Microsoft, non alla posizione geografica del tenant di Microsoft 365. In sostanza, ciò significa che anche se i dati del tenant di Microsoft 365 possono essere archiviati in una posizione geografica specifica, l'esperienza di Microsoft 365 per tale tenant rimane distribuita. Può essere presente in prossimità (di rete) molto ravvicinata a ogni posizione dell'utente finale del tenant.

Principi della connettività di Microsoft 365

Microsoft consiglia i seguenti criteri per ottenere connettività e prestazioni ottimali di Microsoft 365. Usa questi principi di connettività di Microsoft 365 per gestire il traffico e ottenere prestazioni ottimali quando ci si connette a Microsoft 365.

L'obiettivo principale della struttura di rete deve essere ridurre al minimo la latenza, riducendo il tempo di round trip (RTT) dalla rete alla rete globale di Microsoft, la backbone di rete pubblica Microsoft che connette tutti i centri dati di Microsoft con bassa latenza e punti di ingresso dell'applicazione cloud sparsi in tutto il mondo. Per altre informazioni sulla rete globale di Microsoft, vedere Come Microsoft sviluppa la sua rete globale veloce e affidabile.

Identificare e differenziare il traffico di Microsoft 365

L'identificazione del traffico di rete di Microsoft 365 è il primo passaggio per distinguere tale traffico dal traffico di rete generico associato a Internet. La connettività di Microsoft 365 può essere ottimizzata implementando una combinazione di approcci, ad esempio l'ottimizzazione della route di rete, le regole del firewall e le impostazioni del proxy del browser. Inoltre, è utile anche bypassare i dispositivi di ispezione della rete per determinati endpoint.

Per altre informazioni sui metodi di ottimizzazione di Microsoft 365, vedere la sezione Ottimizzazione della connettività ai servizi di Microsoft 365 .

Microsoft pubblica tutti gli endpoint di Microsoft 365 come servizio Web e fornisce indicazioni su come usare al meglio questi dati. Per altre informazioni su come recuperare e usare gli endpoint di Microsoft 365, vedere l'articolo URL e intervalli di indirizzi IP di Microsoft 365.

Uscita dalle connessione di rete a livello locale

Il DNS locale e l'uscita da Internet sono di fondamentale importanza per ridurre la latenza della connessione e garantire che le connessioni utente vengano effettuate al punto di accesso ai servizi di Microsoft 365 più vicino. In una topologia di rete complessa, è importante implementare insieme il DNS locale e l'uscita Internet locale.

Prima dell'avvento di servizi cloud come Microsoft 365, la connettività Internet per l'utente finale come fattore di progettazione nell'architettura di rete era relativamente semplice. Quando i servizi Internet e i siti Web sono distribuiti in tutto il mondo, la latenza tra i punti di uscita aziendali e qualsiasi endpoint di destinazione è in gran parte una funzione della distanza geografica.

In un'architettura di rete tradizionale, tutte le connessioni Internet in uscita attraversano la rete aziendale ed escono da una posizione centrale. Con la maturazione delle offerte cloud di Microsoft, un'architettura di rete distribuita con connessione Internet è diventata fondamentale per il supporto di servizi cloud sensibili alla latenza. La rete globale di Microsoft è stata pensata per supportare i requisiti di latenza con l'infrastruttura porta di servizio distribuita, un tessuto dinamico di punti di ingresso globali che instrada le connessioni al servizio cloud in ingresso al punto di ingresso più vicino. Si tratta di un problema che consente di ridurre la durata dell’ “ultimo miglio” per i clienti Microsoft cloud riducendo efficacemente il percorso tra il cliente e il cloud.

Le WAN aziendali sono spesso progettate per eseguire il backhaul del traffico di rete verso la sede centrale di un'azienda per l'ispezione prima dell'uscita verso Internet, in genere tramite uno o più server proxy. Il diagramma seguente illustra una topologia di rete di questo tipo.

Poiché Microsoft 365 viene eseguito sulla Rete globale Microsoft, che include server front-end in tutto il mondo, spesso è presente un server front-end vicino alla posizione dell'utente. Fornendo l'uscita Internet locale e configurando i server DNS interni per fornire la risoluzione dei nomi locali per gli endpoint di Microsoft 365, il traffico di rete destinato a Microsoft 365 può connettersi ai server front-end di Microsoft 365 il più vicino possibile all'utente. Il diagramma seguente mostra un esempio di topologia di rete che consente agli utenti che si connettono dalla sede principale, dalla succursale e dalle sedi remote di seguire il percorso più breve per raggiungere il punto di ingresso di Microsoft 365 più vicino.

Abbreviare il percorso di rete verso i punti di ingresso di Microsoft 365 in questo modo può migliorare le prestazioni di connettività e l'esperienza utente finale in Microsoft 365. Può anche essere utile per ridurre l'effetto delle future modifiche all'architettura di rete sulle prestazioni e sull'affidabilità di Microsoft 365.

Inoltre, le richieste DNS possono presentare una latenza se il server DNS di risposta è distante o occupato. È possibile ridurre al minimo la latenza di risoluzione dei nomi effettuando il provisioning dei server DNS locali nelle succursali e assicurandosi che siano configurati per memorizzare nella cache i record DNS in modo appropriato.

Anche se l'uscita a livello di area può funzionare bene per Microsoft 365, il modello di connettività ottimale consiste nel fornire sempre l'uscita di rete dalla posizione dell'utente, indipendentemente dal fatto che si trovi nella rete aziendale o in località remote come abitazioni, hotel, caffetterie e aeroporti. Questo modello di uscita diretta locale è rappresentato nel diagramma seguente.

Le aziende che hanno adottato Microsoft 365 possono trarre vantaggio dall'architettura del servizio distribuito dalla rete globale di Microsoft, assicurando che le connessioni utente a Microsoft 365 portino il percorso più breve possibile al punto di ingresso della rete globale Microsoft più vicino. L'architettura di rete locale di uscita consente di instradare il traffico di Microsoft 365 nell'uscita più vicina, indipendentemente dalla posizione dell'utente.

L'architettura di uscita locale offre i seguenti vantaggi rispetto al modello tradizionale:

• Garantisce prestazioni ottimali di Microsoft 365 ottimizzando la lunghezza del percorso. Le connessioni degli utenti finali sono instradate in modo dinamico al punto di ingresso Microsoft 365 più vicino dall'infrastruttura per le porte di servizio distribuite.
• Consente di ridurre il carico sull'infrastruttura di rete aziendale consentendo l'uscita locale.
• Protegge le connessioni su entrambe le estremità usando le funzionalità di sicurezza degli endpoint client e sicurezza cloud.

Evitare fenomeni di hairpinning di rete

Come regola generale, il percorso più breve e diretto tra l'utente e l'endpoint di Microsoft 365 più vicino offre le prestazioni migliori. Un hairpinning di rete si verifica quando il traffico WAN o VPN associato a una determinata destinazione viene prima indirizzato a un'altra posizione intermedia, ad esempio uno stack di sicurezza, un broker di accesso cloud o un gateway Web basato sul cloud, introducendo latenza e il reindirizzamento potenziale a un endpoint geograficamente distante. Le hairpin di rete sono causate anche da inefficienze di routing/peering o da ricerche DNS non ottimali (remote).

Per garantire che la connettività di Microsoft 365 non sia soggetta a hairpin di rete anche nel caso di uscita locale, verificare se l'ISP usato per fornire l'uscita Internet per la posizione dell'utente ha una relazione di peering diretto con la Rete globale Microsoft nelle immediate vicinanze di tale posizione. Può anche essere utile configurare il routing in uscita per inviare direttamente il traffico Microsoft 365 attendibile. Ciò è contrario al proxy o al tunneling tramite un fornitore di sicurezza di rete cloud o basato su cloud di terze parti che elabora il traffico associato a Internet. La risoluzione dei nomi DNS locale degli endpoint di Microsoft 365 aiuta a garantire che oltre al routing diretto, vengano utilizzati i punti di ingresso di Microsoft 365 più vicini per le connessioni utente.

Se si usano servizi di rete o di sicurezza basati sul cloud per il traffico di Microsoft 365, assicurarsi che il risultato della hairpin venga valutato e che l'effetto sulle prestazioni di Microsoft 365 sia compreso. A tale scopo, esaminare il numero e le posizioni delle posizioni del provider di servizi attraverso cui viene inoltrato il traffico in relazione al numero di filiali e punti di peering di Microsoft Global Network, alla qualità della relazione di peering di rete del provider di servizi con l'ISP e Microsoft e all'effetto sulle prestazioni del backhauling nell'infrastruttura del provider di servizi.

A causa del numero elevato di sedi distribuite con punti di ingresso di Microsoft 365 e della loro vicinanza agli utenti finali, l'instradamento del traffico di Microsoft 365 a qualsiasi rete o provider di sicurezza di terze parti può avere un effetto negativo sulle connessioni di Microsoft 365 se la rete del provider non è configurata per il peering ottimale di Microsoft 365.

Valutare l'omissione dei proxy, dispositivi di ispezione del traffico e tecnologie di sicurezza duplicate

I clienti aziendali devono rivedere i propri metodi di sicurezza della rete e riduzione dei rischi, specificatamente per il traffico associato a Microsoft 365 e usare le funzionalità di sicurezza di Microsoft 365 per ridurre la dipendenza da tecnologie intrusive, che incidono sulle prestazioni e sono costose per il traffico di rete di Microsoft 365.

La maggior parte delle reti aziendali applica la sicurezza di rete per il traffico Internet usando tecnologie come proxy, ispezione TLS, ispezione dei pacchetti e sistemi di prevenzione della perdita di dati. Queste tecnologie offrono un'importante mitigazione dei rischi per le richieste Internet generiche, ma possono ridurre drasticamente le prestazioni, la scalabilità e la qualità dell'esperienza dell'utente finale se applicate agli endpoint Microsoft 365.

Servizio Web endpoint di Microsoft 365

Gli amministratori di Microsoft 365 possono usare uno script o una chiamata REST per utilizzare un elenco strutturato di endpoint dal servizio Web Microsoft 365 Endpoints e aggiornare le configurazioni dei firewall perimetrali e di altri dispositivi di rete. In questo modo si garantisce che il traffico associato a Microsoft 365 venga identificato, trattato in modo appropriato e gestito in modo diverso rispetto al traffico di rete associato a siti Web generici e spesso sconosciuti. Per altre informazioni su come usare il servizio Web Microsoft 365 Endpoints, vedere l'articolo Intervalli di indirizzi IP e URL di Microsoft 365.

Script PAC (configurazione automatica proxy)

Gli amministratori di Microsoft 365 possono creare script PAC (configurazione automatica proxy) che possono essere recapitati nei computer degli utenti tramite WPAD o GPO. Gli script PAC possono essere usati per ignorare i proxy per le richieste Microsoft 365 da utenti WAN o VPN, consentendo al traffico Microsoft 365 di usare connessioni Internet dirette anziché attraversare la rete aziendale.

Per altre informazioni sull'uso dei file PAC per ottimizzare la connettività di rete nei dispositivi client, vedere Gestione degli endpoint di Microsoft 365.

Caratteristiche sicurezza Microsoft 365

Microsoft è trasparente in merito alla sicurezza dei centri dati, sicurezza operativa e riduzione dei rischi relazionati ai server Microsoft 365 e agli endpoint di rete che rappresentano. Le funzionalità di sicurezza integrate di Microsoft 365 sono disponibili per ridurre i rischi per la sicurezza della rete, come Prevenzione della perdita dei dati Microsoft Purview, antivirus, autenticazione a più fattori, Customer Lockbox, Defender per Office 365, Microsoft 365 Threat Intelligence, Microsoft 365 Secure Score, le funzionalità di sicurezza integrate per tutti cassette postali cloud e sicurezza DDOS di rete.

Per ulteriori informazioni sui centri dati Microsoft e sulla sicurezza della rete globale, vedere il Centro protezione Microsoft.

Ottimizzazione della connettività ai servizi di Microsoft 365

I servizi di Microsoft 365 sono una raccolta di prodotti, applicazioni e servizi dinamici, interdipendenti e profondamente integrati. Quando si configura e si ottimizza la connettività ai servizi di Microsoft 365, non è possibile collegare endpoint specifici (domini) con alcuni scenari di Microsoft 365 per implementare l'elenco di indirizzi consentiti a livello di rete. Microsoft non supporta l'inserimento selettivo nell'elenco di elementi consentiti perché causa problemi di connettività e servizio per gli utenti. Gli amministratori di rete devono quindi sempre applicare le linee guida di Microsoft 365 per l'elenco di rete consentiti e le ottimizzazioni di rete comuni al set completo di endpoint di rete (domini) necessari pubblicati e aggiornati periodicamente. Anche se stiamo semplificando gli endpoint di rete di Microsoft 365 in risposta al feedback dei clienti, gli amministratori di rete devono essere consapevoli dei modelli di base seguenti nel set di endpoint esistente:

• Se possibile, gli endpoint di dominio pubblicati includeranno caratteri jolly per ridurre significativamente il lavoro di configurazione della rete per i clienti.
  • Microsoft 365 ha annunciato un'iniziativa di consolidamento del dominio (cloud.microsoft), che offre ai clienti un modo per semplificare le configurazioni di rete e accumulare automaticamente le ottimizzazioni di rete per questo dominio in molti servizi Microsoft 365 attuali e futuri.
  • Uso esclusivo del dominio radice cloud.microsoft per l'isolamento della sicurezza e funzioni specifiche. Ciò consente ai team di rete e di sicurezza dei clienti di considerare attendibili i domini di Microsoft 365, migliorando al contempo la connettività a tali endpoint ed evitando elaborazioni di sicurezza di rete non necessarie.
  • Alcune definizioni di endpoint specificano prefissi IP univoci corrispondenti ai rispettivi domini. Questa funzionalità supporta i clienti con strutture di rete complesse, consentendo loro di applicare ottimizzazioni di rete precise usando i dettagli del prefisso IP.

Le configurazioni di rete seguenti sono consigliate per tutti gli endpoint (domini) e le categorie di rete Microsoft 365 necessari:

• Consentire in modo esplicito gli endpoint di rete Microsoft 365 nei dispositivi e nei servizi di rete attraversati dalle connessioni utente (ad esempio, dispositivi di sicurezza perimetrali di rete come proxy, firewall, DNS, soluzioni di sicurezza di rete basate sul cloud, ecc.)
  • Ignorare i domini di Microsoft 365 dalla decrittografia TLS, dall'intercettazione del traffico, dall'ispezione approfondita dei pacchetti e dal filtro dei pacchetti e dei contenuti di rete. Si noti che molti risultati per cui i clienti usano queste tecnologie di rete nel contesto di applicazioni non attendibili/non gestite possono essere raggiunti dalle funzionalità di sicurezza di Microsoft 365 in modo nativo.
  • L'accesso diretto a Internet deve essere classificato in ordine di priorità per i domini di Microsoft 365 riducendo la dipendenza dal backhauling WAN (Wide Area Network), evitando gli hairpin di rete e abilitando una più efficiente uscita da Internet locale per gli utenti e direttamente alla rete Microsoft.
  • Assicurarsi che la risoluzione dei nomi DNS avvenga in prossimità della rete in uscita per garantire che le connessioni vengano servite attraverso la frontdoor di Microsoft 365 ottimale.
  • Assegna priorità alle connessioni Microsoft 365 lungo il percorso di rete, garantendo capacità e qualità del servizio per le esperienze Microsoft 365.
  • Ignorare i dispositivi di intermediazione del traffico come proxy e servizi VPN.

Le linee guida per la connettività di Microsoft 365 sono progettate in base all'identificazione degli endpoint basata su dominio. Microsoft consiglia di usare i dati pubblicati degli endpoint di dominio disponibili come https://aka.ms/m365endpoints origine primaria per la configurazione di rete di Microsoft 365, l'elenco di indirizzi consentiti e l'ottimizzazione della connettività.

Alcuni clienti con topologie di rete complesse possono anche usare i dati pubblicati del prefisso IP, se disponibili, per supportare ottimizzazioni di rete specifiche, ad esempio routing personalizzato, split tunneling delle reti VPN e bypass proxy. Anche se Microsoft pubblica i prefissi IP per alcuni servizi di Microsoft 365, molti endpoint dei servizi cloud sono di natura dinamica e gli indirizzi IP associati possono cambiare nel tempo. Per questi endpoint, vengono pubblicati solo i dati degli endpoint basati su dominio e non vengono fornite informazioni sull'indirizzo IP corrispondenti.

Ulteriori considerazioni sulla rete

Quando si ottimizza la connettività a Microsoft 365, alcune configurazioni di rete possono avere un impatto negativo sulla disponibilità, l'interoperabilità, le prestazioni e l'esperienza utente di Microsoft 365. Microsoft non ha testato i seguenti scenari di rete con i propri servizi e sono noti per causare problemi di connettività.

• Terminazione TLS o ispezione approfondita dei pacchetti di qualsiasi dominio Microsoft 365 con proxy dei clienti o altri tipi di dispositivi o servizi di rete.
• Blocco di protocolli o versioni di protocolli specifici, ad esempio QUIC, WebSocket e così via, tramite l'infrastruttura o il servizio di rete intermedio.
• Forzare il downgrade o il failover dei protocolli (ad esempio UDP -> TCP, TLS1.3 -> TLS1.2 -> TLS1.1) usati tra applicazioni client e servizi Microsoft 365.
• Instradamento delle connessioni attraverso l'infrastruttura di rete applicando la propria autenticazione, ad esempio l'autenticazione proxy.

È consigliabile che i clienti evitino di usare queste tecniche di rete per il traffico destinato ai domini di Microsoft 365 e le ignorino per le connessioni di Microsoft 365.

Microsoft consiglia di configurare un sistema automatizzato per scaricare e applicare regolarmente l'elenco degli endpoint di rete di Microsoft 365. Per altre informazioni, vedere Gestione delle modifiche per gli indirizzi IP e gli URL di Microsoft 365 .

Confronto tra la sicurezza perimetrale di rete e sicurezza degli endpoint

L'obiettivo di una sicurezza di rete tradizionale è rafforzare il perimetro della rete aziendale contro intrusioni ed exploit dannosi. Man mano che le organizzazioni adottano Microsoft 365, alcuni servizi e dati di rete vengono migrati parzialmente o completamente nel cloud. Come per qualsiasi modifica fondamentale all'architettura di rete, questo processo richiede una rivalutazione della sicurezza della rete che tenga conto dei fattori emergenti:

• Con l'adozione dei servizi cloud, i servizi di rete e dati vengono distribuiti tra i centri dati locali e il cloud e la sola sicurezza perimetrale non è più sufficiente.
• Gli utenti remoti si connettono alle risorse aziendali sia nei centri dati locali che nel cloud, da posizioni non controllate come case, hotel e caffetterie.
• Le funzionalità di sicurezza appositamente progettate sono sempre più integrate nei servizi cloud e possono potenzialmente integrare o sostituire i sistemi di sicurezza esistenti.

Microsoft offre una vasta gamma di funzionalità di sicurezza di Microsoft 365 e fornisce una guida prescrittiva per l'utilizzo delle migliori pratiche di sicurezza che possono aiutare a garantire la sicurezza dei dati e della rete per Microsoft 365. Le procedure consigliate includono:

• Usa l'autenticazione a più fattori (MFA) L'autenticazione a più fattori aggiunge un ulteriore livello di protezione a una strategia per password complessa, richiedendo agli utenti di confermare una telefonata, un SMS o una notifica dell'app sullo smartphone dopo aver immesso correttamente la password.

• Usare Microsoft Defender for Cloud Apps Configurare i criteri per tenere traccia delle attività anomale e agire su di esse. Configura gli avvisi con Microsoft Defender per app cloud in modo che gli amministratori possano esaminare le attività utente insolite o rischiose, come il download di grandi quantità di dati, più tentativi di accesso non riusciti o connessioni da indirizzi IP sconosciuti o pericolosi.

• Configurare la prevenzione della perdita dei dati (DLP) DPL consente di identificare i dati sensibili e creare criteri tali da impedire agli utenti di condividere i dati per errore o intenzionalmente. DLP funziona in Microsoft 365, includendo Exchange Online, SharePoint Online e OneDrive, consentendo agli utenti di restare conformi senza interrompere il flusso di lavoro.

• Usare Customer Lockbox In qualità di amministratore di Microsoft 365, è possibile usare Customer Lockbox per controllare il modo in cui un tecnico del supporto Microsoft può accedere ai dati dell'utente durante una sessione di assistenza. Nei casi in cui il tecnico richiede l'accesso ai dati dell'utente per risolvere e correggere un problema, Customer Lockbox consente di approvare o rifiutare la richiesta di accesso.

• Usare Punteggio protetto

Uno strumento di analisi della sicurezza che consiglia cosa fare per ridurre ulteriormente i rischi. Secure Score esamina le impostazioni e attività di Microsoft 365 e le confronta con una linea di base definita da Microsoft. Si ottiene un punteggio in base al livello di allineamento con le procedure consigliate per la sicurezza.

Per raggiungere un approccio olistico alla sicurezza avanzata, è necessario considerare quanto segue:

• Spostare l'attenzione dalla sicurezza perimetrale a quella degli endpoint applicando le funzionalità di sicurezza client basate su Office e cloud.
  • Ridurre il perimetro di sicurezza al centro dati
  • Abilitare l’affidabilità equivalente per i dispositivi degli utenti all'interno dell'ufficio o da remoto
  • Concentrarsi sulla protezione della posizione dei dati e della posizione dell'utente
  • I computer degli utenti gestiti hanno un livello di fiducia più elevato con la sicurezza degli endpoint
• Gestire tutte le informazioni in sicurezza, in maniera olistica, senza focalizzare l'attenzione esclusivamente sul perimetro
  • Ridefinire la WAN e creare la sicurezza della rete perimetrale consentendo al traffico attendibile di ignorare i dispositivi di sicurezza e spostare i dispositivi non gestiti dalle reti Wi-Fi ospiti
  • Ridurre i requisiti di sicurezza della rete del margine WAN aziendale
  • Alcuni dispositivi di sicurezza perimetrali di rete, come i firewall, sono comunque necessari, ma il carico viene ridotto
  • Assicura l'uscita locale per il traffico di Microsoft 365
• È possibile indirizzare i miglioramenti in modo incrementale come descritto nella sezione Ottimizzazione incrementale. Alcune tecniche di ottimizzazione possono offrire un rapporto costi/benefici migliore a seconda dell'architettura di rete. È consigliabile scegliere quelle più adatte per l'organizzazione.

Per altre informazioni sulla sicurezza e conformità di Microsoft 365, vedere gli articoli Sicurezza Microsoft 365 e Microsoft Purview.

Ottimizzazione incrementale

Abbiamo rappresentato il modello di connettività di rete ideale per SaaS in precedenza in questo articolo, ma per molte grandi organizzazioni con architetture di rete storicamente complesse, non è pratico apportare direttamente tutte queste modifiche. In questa sezione vengono illustrate molte modifiche incrementali che possono contribuire a migliorare le prestazioni e l'affidabilità di Microsoft 365.

I metodi da usare per ottimizzare il traffico di Microsoft 365 variano a seconda della topologia di rete e dei dispositivi di rete implementati. Le grandi aziende con molte sedi e procedure di sicurezza di rete complesse devono sviluppare una strategia che includa la maggior parte o tutti i principi elencati nella sezione Principi di connettività di Microsoft 365 , mentre le organizzazioni più piccole potrebbero dover considerarne solo uno o due.

È possibile approcciare l'ottimizzazione come processo incrementale applicando ogni metodo successivamente. Nella tabella seguente sono elencati i principali metodi di ottimizzazione in ordine di effetto sulla latenza e sull'affidabilità per la maggior parte degli utenti.

Contenuto correlato

• Informazioni generali sulla connettività di rete di Microsoft 365
• Gestione degli endpoint di Microsoft 365
• URL e intervalli di indirizzi IP per Microsoft 365
• Indirizzo IP e URL del servizio Web di Microsoft 365
• Valutazione della connettività di rete di Microsoft 365
• Pianificazione della rete e ottimizzazione delle prestazioni per Microsoft 365
• Ottimizzazione delle prestazioni di Microsoft 365 tramite baseline e cronologia delle prestazioni
• Piano di risoluzione dei problemi delle prestazioni per Microsoft 365
• Reti per la distribuzione di contenuti
• Test di connettività di Microsoft 365
• Come Microsoft sviluppa la sua rete globale veloce e affidabile
• Blog di rete di Microsoft 365