Windows 365接続要件について – クラウド側の接続

このドキュメントでは、クラウド PC のプロビジョニングと運用を成功させるためにWindows 365側で必要な接続と最適化に焦点を当てます。

概要

organizationのデプロイで最適なパフォーマンスと信頼性を実現するには、Windows 365接続要件を理解することが重要です。

サービス接続の要件は、次の 3 つの領域に分類されます。

  • RDP 接続

  • クラウド側サービス接続 (このドキュメント)

  • 物理クライアント接続

展開オプション

Windows 365には、クラウド ネットワーク接続用の 2 つのデプロイ モデルが用意されています。 技術的な取り組みは、それらの間で大きく異なります。 詳細については、 展開オプション のドキュメントを参照してください。

Microsoft Hosted Network は、次の理由で推奨されるオプションです。

  • 自動構成: Microsoft は、基になるすべてのネットワーク接続を提供します。

  • マネージド インフラストラクチャ: Microsoft は、メンテナンス、アップグレード、セキュリティを処理します。

  • 設計によるセキュリティ保護: 受信接続やクラウド間 PC トラフィックがありません。

  • 複雑さが少ない: 顧客側の依存関係を最小限に抑え、迅速なデプロイを可能にします。

  • 高い柔軟性: 迅速なセットアップやビジネス継続性のシナリオに最適です。

  • 低コスト: 基になるネットワーク インフラストラクチャは、Microsoft によって提供されます。

このオプションを選択すると、接続の構成と操作が大幅に簡略化され、Azure ネットワーク接続 (ANC) モデルが必要でない限り、既定の選択肢である必要があります。

Azure ネットワーク接続 (ANC)。 ANC では、お客様側で完全なネットワーク構成とメンテナンスが必要です。

  • カスタマー マネージド ネットワーク: 独自のAzure サブスクリプション内で、独自の VNet でルーティング、ルール、セキュリティを構成します。

  • 継続的なメンテナンス: Azureの既定値を超えて、ネットワーク チームは更新プログラムと一般的なメンテナンスを管理します。

  • セキュリティの責任: チームがネットワークをセキュリティで保護します。

  • Azureネットワークの専門知識が必要です。基になるネットワークのデプロイと運用に必要なネットワーク スキルをAzureします。

  • デプロイ時間が長い: オーバーヘッドが高く、柔軟性が低くなります。

  • ネットワーク コスト:帯域幅やファイアウォールを含むネットワーク要素は、Azure サブスクリプションに課金されます。

クラウド PC 側で接続を構成する際に理解する必要がある要素は 2 つあり、これらの要素は選択したデプロイ オプションによって異なります。

  • 基になるネットワーク要件: クラウド PC の仮想ネットワークが配置カード基になるネットワークへの構成。

  • クラウド PC の構成: プロキシ、VPN、Secure Web Gateway (SWG) の設定やソフトウェアなど、クラウド PC 自体に適用されるネットワーク構成。

Microsoft ホステッド ネットワーク接続の要件

基になるネットワーク要件:

Microsoft がお客様に代わってインフラストラクチャを完全に管理するため、構成は必要ありません。

クラウド PC の構成:

VPN および Secure Web Gateway (SWG) ソフトウェアは、トラフィック フローに影響を与え、基になるネットワークを介して直接パスから転送する可能性があります。 次のガイドラインに従って、高パフォーマンスと信頼性を確保します。

  1. VPN/SWG トンネルをバイパスし、Microsoft のバックボーンに直接ルーティングすることで、RDP トラフィックを最適化します。

  2. VPN/SWG トンネルから 他の必要なエンドポイントを バイパスして、可能な場合は直接サービス アクセスを行います。

  3. トラフィックが VPN/SWG 経由で誤ってルーティングされた場合(たとえば、SWG ソリューションを介して許可され、検査されていないことを確認するなど)、エンドポイントにアクセス可能な状態を維持します。

  4. 必要なエンドポイントをバイパスするように、ログオン前トンネルまたはマシン トンネルを構成します。 そうしないと、ユーザーがクラウド PC にログオンする前に接続が必要になるため、クラウド PC の可用性に影響します。

  5. Microsoft 365 トラフィックなどのダイレクト ルーティングの利点がある他の Microsoft 365 トラフィックの VPN/SWG をバイパスすることを検討してください。 Microsoft のネットワークは、これらのサービスへの高帯域幅の低待機時間パスを提供します。

次の例では、Secure Web Gateway ソフトウェアがインストールされた Microsoft Hosted Network によってデプロイされたクラウド PC が表示されます。

  • パス 1 は、緑色の破線で示され、RDP やその他のキー エンドポイントを Microsoft のネットワークに直接送信し、SWG トンネルをバイパスします。 このダイレクト ルートは、SWG を介したトラフィックのヘアピン処理を回避することで、パフォーマンスと信頼性を向上させます。

  • パス 2 は、青色の実線で示され、必要に応じて SWG トンネルまたはプライベート アクセス ソリューションを介して他のすべてのトラフィックを送信します。 Microsoft の高速ネットワーク ピアは、インターネットと直接連携して外部サービスに接続します。

最適化された RDP とローカル Azure Firewall既定のパスを持つ ANC のスクリーンショット。

図 1: 最適化された RDP とローカル Azure Firewall既定のパスを持つ ANC。

Azure ネットワーク接続 (ANC) 接続の要件

ANC デプロイの信頼性とパフォーマンスを維持するには、次のベスト プラクティス構成が設定されていることを確認します。 このデプロイ オプションの基になるネットワークは、独自のAzure サブスクリプション内に完全に存在するため、十分な数の要件が満たされていることを確認する必要があります。 ANC を最初に作成する方法のガイダンスについては、 このドキュメント を参照してください。

基になるネットワーク要件:

  1. 十分な IP 領域を割り当てます。最大クラウド PC 数の 2 倍を推奨します。 すべてのクラウド PC の再プロビジョニングが必要になる場合があるディザスター リカバリー シナリオでは、少なくとも 50% の無料を維持します。

  2. DNS の構成:AZURE DNS または到達可能なカスタム DNS サーバーを使用します。 冗長性と高可用性のためには、複数の DNS サーバーを使用して堅牢な名前解決を行うことをお勧めします。

  3. TLS 検査を無効にする:必要なエンドポイントへのトラフィックを検査しないでください。TLS インターセプトは重要なフローを中断します。

  4. ExpressRoute またはサイト間 VPN は、オンプレミスのトラフィックにのみ使用します。Windows 365負荷の回路をスケーリングします。 可能な限り、他のすべてのトラフィックに対してローカル Azure ブレークアウトを使用します。

  5. Azureのエグレスに必要なエンドポイントをルーティングする: そうすることで非効率的なパスが提供されるため、オンプレミス経由でのルーティングを避け、パフォーマンスや信頼性の問題につながる可能性があります。 Azure Firewallを使用している場合は、FQDN タグを使用してルールを自動化します。

  6. 使用するネットワーク仮想アプライアンス (NVA) に FQDN ベースの規則を適用します 。多くのエンドポイントを IP 範囲として表すことはできません。ルールを適切に構成します。

  7. 重要で有効期間の長い送信トラフィック (RDP や VPN/SWG トラフィックなど) には、Azure Firewallなどの NVA の代わりに NAT ゲートウェイを使用します。NAT ゲートウェイは、この重要なトラフィックに最も最適化されたパスを提供し、ファイアウォールの負荷やスケールインによって接続が切断される原因による問題を回避します。

  8. RDP トラフィックの直接ルーティング用にユーザー定義ルート (UDR) を構成します。WindowsVirtualDesktop サービス タグを使用して、RDP トラフィックを NAT ゲートウェイに転送する

  9. NAT ゲートウェイに複数のパブリック IP を割り当てます。 複数の IP が使用されている IP アドレス間でトラフィックを分散し、DDoS 保護トリガーを防ぎます。

  10. ネットワーク セキュリティ グループ (NSG) を確認します。必要なエンドポイントがブロックされないようにします。

  11. 受信接続は必要ありません。 すべてのトラフィックが送信されます。

  12. ANC 正常性チェックを実行する: クラウド PC をプロビジョニングする前に構成を検証し、問題を修復します。

remote-desktop-protocol-optimized-azure-network

図 2: 最適化された RDP とローカル Azure Firewall既定のパスを持つ ANC。

次の図は、Azure仮想ネットワーク (VNet) から構成された 3 つの主要なルートを示しています。

既定のルート (0.0.0.0/0 ユーザー定義ルート UDR)すべてのトラフィックをAzure Firewallのプライベート IP に送信します。これは既定のパスになります。 ファイアウォールを使用すると、必要に応じて Microsoft のネットワークとインターネットへの承認されたトラフィックが許可されます。 このパスは、特別な処理を必要としない他のWindows 365 サービス エンドポイントに使用します。

  1. RDP トラフィックの最適化されたルート より具体的な UDR は、 WindowsVirtualDesktop サービス タグを "インターネット" に送信します。この例では NAT ゲートウェイを使用します。 このパスは RDP 用に最適化されており、ファイアウォールを通過する必要のない有効期間の長いトラフィックや待機時間に依存するトラフィックにも使用する必要があります。 "インターネット" は、このトラフィックが Microsoft でホストされているエンドポイントのパブリック インターネットに到達するわけではありません。

  2. オンプレミス ルート ExpressRoute ゲートウェイは、オンプレミスのトラフィックに対してより具体的なルートを提供します (たとえば、 10.0.0.0/8 範囲内のルートなど)。

詳細については、「Azure Firewallを使用したWindows 365環境の管理とセキュリティ保護」のドキュメントを参照してください。

クラウド PC の構成

Microsoft Hosted Network デプロイの場合と同様に、基になるネットワークが正しく構成されている場合でも、クラウド PC 自体でのネットワーク接続の変更は、デプロイとパフォーマンスと信頼性に影響を与える可能性があります。 ANC デプロイについても、次の手順に従っていることを確認します。

  1. VPN/SWG トンネルをバイパスし、ANC ネットワーク経由で Microsoft のバックボーンに直接ルーティングすることで、RDP トラフィックを最適化します。

  2. 直接サービス アクセスのために VPN/SWG トンネルから 必要なエンドポイント をバイパスします。

  3. トラフィックが誤って VPN/SWG 経由でルーティングされる場合は、エンドポイントにアクセス可能な状態を維持します。 たとえば、許可リストにエンドポイントが追加されていることを確認します。

  4. 必要なエンドポイントをバイパスするように、ログオン前トンネルまたはマシン トンネルを構成します。 これを行わないと、クラウド PC の可用性に影響します。

  5. Microsoft 365 トラフィックなどの直接ルーティングの利点がある他の Microsoft 365 トラフィックの VPN/SWG をバイパスすることを検討してください。

  • 最終更新: