Informazioni sui requisiti di connettività Windows 365 - Connettività sul lato cloud

Questo documento è incentrato sulla connettività e l'ottimizzazione necessarie sul lato Windows 365 per garantire il provisioning e il funzionamento dei PC cloud.

Introduzione

Comprendere Windows 365 requisiti di connettività è fondamentale per ottenere prestazioni e affidabilità ottimali nella distribuzione dell'organizzazione.

I requisiti di connettività del servizio rientrano in tre aree:

• Connettività RDP

• Connettività del servizio sul lato cloud (questo documento)

• Connettività client fisica

Opzioni di distribuzione

Windows 365 offre due modelli di distribuzione per la connettività di rete cloud. Lo sforzo tecnico varia in modo significativo tra loro. Per informazioni dettagliate, vedere la documentazione relativa alle opzioni di distribuzione .

Microsoft Hosted Network è l'opzione consigliata a causa di:

• Configurazione automatica: Microsoft fornisce tutta la connettività di rete sottostante.

• Infrastruttura gestita: Microsoft gestisce la manutenzione, gli aggiornamenti e la sicurezza.

• Sicurezza per progettazione: nessuna connettività in ingresso o traffico tra PC cloud.

• Bassa complessità: le dipendenze minime sul lato cliente consentono una distribuzione rapida.

• Flessibilità elevata: ideale per scenari di configurazione rapida o continuità aziendale.

• Costo inferiore: L'infrastruttura di rete sottostante viene fornita da Microsoft.

La scelta di questa opzione semplifica notevolmente la configurazione e il funzionamento della connettività e deve essere la scelta predefinita, a meno che non sia necessario il modello anc (Network Connection) Azure.

Azure network connection (ANC). L'ANC richiede la configurazione e la manutenzione della rete completa sul lato cliente:

• Rete gestita dal cliente: configurare il routing, le regole e la sicurezza nella propria rete virtuale, all'interno della propria sottoscrizione Azure.

• Manutenzione in corso: oltre alle impostazioni predefinite Azure, il team di rete gestisce gli aggiornamenti e la manutenzione generale.

• Responsabilità della sicurezza: il team protegge la rete.

• Azure competenze di rete necessarie: Azure competenze di rete necessarie per distribuire e gestire la rete sottostante.

• Tempi di distribuzione più lunghi: sovraccarico più elevato e flessibilità inferiore.

• Costi di rete: Gli elementi di rete, inclusi la larghezza di banda e i firewall, vengono fatturati alla sottoscrizione Azure.

Esistono due elementi da comprendere durante la configurazione della connettività sul lato Cloud PC e questi elementi differiscono a seconda dell'opzione di distribuzione scelta:

• Requisiti di rete sottostanti: configurazione della rete sottostante in cui si trova la scheda di rete virtuale del PC cloud.

• Configurazione del PC cloud: la configurazione di rete applicata al PC cloud stesso, ad esempio le impostazioni proxy, VPN o SWG (Secure Web Gateway) e il software.

Requisiti di connettività di rete ospitata microsoft

Requisiti di rete sottostanti:

Non è necessaria alcuna configurazione perché Microsoft gestisce completamente l'infrastruttura per conto dell'utente.

Configurazione di Cloud PC:

Il software SWG (Vpn and Secure Web Gateway) può influire sul flusso del traffico e deviarlo da un percorso diretto tramite la rete sottostante. Seguire queste linee guida per garantire prestazioni e affidabilità elevate:

1. Ottimizzare il traffico RDP ignorando i tunnel VPN/SWG e il routing direttamente al backbone di Microsoft.

2. Ignorare altri endpoint obbligatori dai tunnel VPN/SWG per l'accesso diretto al servizio, dove possibile.

3. Assicurarsi che gli endpoint rimangano accessibili se il traffico viene inavvertitamente instradato tramite VPN/SWG, ad esempio assicurando che siano consentiti e non controllati tramite la soluzione SWG.

4. Configurare i tunnel di pre-accesso o del computer per ignorare gli endpoint necessari. In caso contrario, la disponibilità dei PC cloud viene influenzata dal fatto che è necessaria la connettività prima che un utente accinga al PC cloud.

5. È consigliabile ignorare VPN/SWG per altro traffico di Microsoft 365 che trae vantaggio dal routing diretto, ad esempio il traffico di Microsoft 365. La rete microsoft offre un percorso a bassa latenza con larghezza di banda elevata per questi servizi.

Nell'esempio seguente viene visualizzato un PC cloud distribuito da Microsoft Hosted Network con software gateway Web protetto installato.

• Il percorso 1, mostrato come linea verde tratteggiata, invia RDP e altri endpoint chiave direttamente alla rete microsoft, ignorando il tunnel SWG. Questa route diretta migliora le prestazioni e l'affidabilità evitando l'accodatura del traffico attraverso il SWG.

• Il percorso 2, mostrato come linea blu continua, invia tutto il traffico attraverso il tunnel SWG o la soluzione di accesso privato quando necessario. La rete ad alta velocità di Microsoft esegue direttamente i peer con Internet per raggiungere i servizi esterni.

Diagramma 1: ANC con RDP ottimizzato e percorso locale Firewall di Azure predefinito.

requisiti di connettività di connessione di rete (ANC) Azure

Per mantenere l'affidabilità e le prestazioni per le distribuzioni anc, assicurarsi che siano disponibili le configurazioni consigliate seguenti. Poiché la rete sottostante in questa opzione di distribuzione si trova completamente all'interno della sottoscrizione di Azure, esistono numerosi requisiti per assicurarsi che siano soddisfatti. Vedere questo documento per indicazioni su come creare inizialmente un anc.

Requisiti di rete sottostanti:

1. Allocare spazio IP sufficiente: È consigliato il doppio del numero massimo di PC cloud. Mantenere almeno il 50% gratuito per gli scenari di ripristino di emergenza in cui potrebbe essere necessario ripetere il provisioning di tutti i PC cloud.

2. Configurare DNS: Usare Azure DNS o un server DNS personalizzato raggiungibile. Per la ridondanza e la disponibilità elevata, è consigliabile garantire una risoluzione affidabile dei nomi usando più server DNS.

3. Disabilitare l'ispezione TLS: Il traffico verso gli endpoint necessari non deve essere controllato; L'intercettazione TLS interrompe i flussi critici.

4. Usare ExpressRoute o vpn da sito a sito solo per il traffico locale: Ridimensionare i circuiti per il carico Windows 365. Usare il breakout Azure locale per tutto il traffico, dove possibile.

5. Instradare gli endpoint necessari a un'uscita in uscita in Azure: evitare il routing tramite l'ambiente locale perché in questo modo viene fornito un percorso inefficiente, che può causare problemi di prestazioni o affidabilità. Usare i tag FQDN per automatizzare le regole se si usa Firewall di Azure.

6. Applicare regole basate su FQDN in qualsiasi appliance virtuale di rete usata: Molti endpoint non possono essere rappresentati come intervalli IP; configurare le regole di conseguenza.

7. Usare il gateway NAT anziché un'appliance virtuale di rete, ad esempio Firewall di Azure per il traffico in uscita critico e di lunga durata, ad esempio il traffico RDP e VPN/SWG: un gateway NAT fornisce il percorso più ottimizzato per questo traffico critico ed evita i problemi causati dal caricamento nel firewall o dalla riduzione delle connessioni.

8. Configurare route definite dall'utente per il routing diretto del traffico RDP: Usare il tag del WindowsVirtualDesktop servizio per indirizzare il traffico RDP al gateway NAT

9. Assegnare più indirizzi IP pubblici al gateway NAT: Più INDIRIZZI IP distribuiscono il traffico tra gli indirizzi IP usati e impediscono i trigger di protezione DDoS.

10. Verificare i gruppi di sicurezza di rete :Verify Network Security Groups (NSG): Assicurarsi che non blocchino gli endpoint necessari.

11. Non è necessaria alcuna connettività in ingresso: Tutto il traffico è in uscita.

12. Eseguire il controllo dell'integrità anc: Convalidare la configurazione e correggere i problemi prima del provisioning dei PC cloud.

Diagramma 2: ANC con RDP ottimizzato e percorso locale Firewall di Azure predefinito.

Questo diagramma mostra tre route principali configurate dalla rete virtuale Azure:

Route predefinita (0.0.0.0/0 UDR route definita dall'utente) Invia tutto il traffico all'INDIRIZZO IP privato dell'Firewall di Azure, che diventa il percorso predefinito. Il firewall consente il traffico approvato verso la rete Microsoft e Internet in base alle esigenze. Usare questo percorso per altri endpoint di servizio Windows 365 che non richiedono una gestione speciale.

1. Route ottimizzata per il traffico RDP Un valore UDR più specifico invia il tag di WindowsVirtualDesktop servizio a "Internet", che in questo esempio usa un gateway NAT. Questo percorso è ottimizzato per RDP e deve essere usato anche per il traffico di lunga durata o sensibile alla latenza che non deve attraversare il firewall. "Internet" non significa che questo traffico raggiunge internet pubblico per gli endpoint ospitati da Microsoft.

2. Route locale Il gateway ExpressRoute fornisce una route più specifica per il traffico locale, ad esempio qualsiasi elemento nell'intervallo 10.0.0.0/8 .

Per altri dettagli, vedere il documento Usare Firewall di Azure per gestire e proteggere gli ambienti Windows 365.

Configurazione di Cloud PC

Come nel caso delle distribuzioni di Microsoft Hosted Network, anche se la rete sottostante è configurata correttamente, le modifiche alla connettività di rete nel PC cloud stesso possono influire sulla distribuzione, sulle prestazioni e sull'affidabilità. Assicurarsi che i passaggi seguenti siano seguiti anche per le distribuzioni anc.

1. Ottimizzare il traffico RDP ignorando i tunnel VPN/SWG e il routing direttamente al backbone di Microsoft tramite la rete ANC.

2. Ignorare gli endpoint necessari dai tunnel VPN/SWG per l'accesso diretto al servizio.

3. Assicurarsi che gli endpoint rimangano accessibili se il traffico viene inavvertitamente instradato tramite VPN/SWG. Ad esempio, assicurarsi che gli endpoint vengano aggiunti per consentire gli elenchi.

4. Configurare i tunnel di pre-accesso o del computer per ignorare gli endpoint necessari. In caso contrario, la disponibilità dei PC cloud ha un impatto.

5. È consigliabile ignorare VPN/SWG per altro traffico di Microsoft 365 che trae vantaggio dal routing diretto, ad esempio il traffico di Microsoft 365.