IP-adressen voor Azure fabric-communicatie

Azure AVD-sessiehosts (Virtual Desktop) en Windows 365 Cloud-pc's hebben verbinding nodig met twee IP-adressen van Azure platform. Deze adressen bieden toegang tot kerninfrastructuurservices die ondersteuning bieden voor inrichting, statusbewaking, identiteit en platformcommunicatie.

Verkeer naar deze adressen werkt op Azure platforminfrastructuurniveau. Het gedraagt zich anders dan verkeer naar op FQDN gebaseerde eindpunten en moet dienovereenkomstig worden verwerkt.

In dit artikel wordt uitgelegd wat deze IP-adressen zijn, waarom ze essentieel zijn, hoe ze verschillen van andere eindpunten en hoe u ervoor kunt zorgen dat de verbinding succesvol is.

Overzicht

Azure Virtual Desktop-sessiehosts en Windows 365 Cloud-pc's moeten verbinding maken met de volgende IP-adressen:

Azure Instance Metadata Service (169.254.169.254)

Azure Instance Metadata Service (IMDS) is een REST API-eindpunt dat informatie biedt over een actieve virtuele machine. Software in de virtuele machine (VM) maakt gebruik van IMDS om te integreren met de Azure-omgeving.

VM's gebruiken IMDS om het volgende op te halen:

• VM-identiteit en -configuratiegegevens

• Beheerde identiteitstokens voor verificatie naar Azure services

• Geplande gebeurtenissen en onderhoudsmeldingen

• Metagegevens zoals regio, beschikbaarheidszone, VM-grootte en netwerkconfiguratie

Het adres 169.254.169.254 is een link-lokaal IP-adres. Het is niet routeerbaar en alleen toegankelijk vanuit de VM. Aanvragen naar dit adres verlaten nooit de fysieke host. De Azure hypervisor onderschept en reageert lokaal op het verkeer.

IMDS werkt op hypervisorniveau. Dit wordt niet beïnvloed door netwerkbeveiligingsgroepen, door de gebruiker gedefinieerde routes of Azure Firewall regels. De configuratie van het besturingssysteem binnen de VM, zoals hostfirewalls of VPN-clients, kan de toegang echter blokkeren.

Azure platformstatusbewaking (168.63.129.16)

Het adres 168.63.129.16 is een virtueel openbaar IP-adres dat door Azure platformservices wordt gebruikt om te communiceren met VM's. Dit adres wordt ook wel het WireServer-eindpunt genoemd.

VM's gebruiken dit adres voor:

• Statusbewaking en heartbeatcommunicatie van de Azure VM-agent

• DNS-resolutie bij gebruik van Azure opgegeven DNS. (Poort 53 (UDP/TCP) is alleen vereist als u Azure opgegeven DNS gebruikt. Als er een aangepaste DNS-server wordt gebruikt voor het VNet, is deze poort niet vereist.

• DHCP-communicatie voor toewijzing en verlenging van IP-adressen

Verkeer naar 168.63.129.16 doorkruist de Azure virtuele netwerkinfrastructuur. Azure platformroutering past speciale verwerking toe om ervoor te zorgen dat het adres bereikbaar blijft in netwerken met beperkende beveiligings- of routeringsconfiguraties.

Verschillen met standaardeindpunten

Azure Virtual Desktop en Windows 365 ook verbinding vereisen met op FQDN gebaseerde eindpunten, zoals besturingsvlakservices, Microsoft Entra ID, enzovoort. Verkeer naar deze eindpunten gedraagt zich als standaardinternetverkeer naar openbare IP-adressen. Sommige van dit verkeer, zoals RDP, vereist optimalisatie in klantnetwerken, maar kan over het algemeen worden behandeld als normale openbare eindpunten.

Verkeer naar 169.254.169.254 en 168.63.129.16 gedraagt zich echter anders.

• Azure intern en niet routeerbaar. Deze adressen maken deel uit van Azure interne platforminfrastructuur. Het zijn geen interneteindpunten, worden niet omgezet via openbare DNS en zijn niet toegankelijk van buiten Azure of on-premises netwerken.

• Ze kunnen niet worden geproxied omdat proxyservers deze adressen niet kunnen bereiken. Pogingen om dit verkeer via een proxy te verzenden, zijn niet geslaagd, of het nu gaat om PAC-bestanden, groepsbeleid of toepassingsproxy-instellingen.

• Ze kunnen geen VPN-tunnels doorkruisen of webgateways beveiligen. VPN-clients en beveiligde webgatewayagents die in de modus voor volledige tunnel of geforceerde tunnel werken, leggen al het verkeer van de VM vast. Wanneer ze verkeer naar deze adressen vastleggen, mislukt de verbinding omdat de adressen niet bereikbaar zijn via VPN-tunnels of beveiligingsinfrastructuur van derden.

• Gedeeltelijk beveiligd door Azure platformroutering. Azure-netwerken bevat beveiligingen om de verbinding met deze adressen in de infrastructuurlaag te garanderen. Standaardroutes zoals 0.0.0.0/0 en de meeste regels voor netwerkbeveiligingsgroepen blokkeren dit verkeer niet. Deze beveiligingen zijn echter niet van toepassing op de configuratie binnen de VM of op expliciete netwerkregels die zijn gericht op deze adressen of de bijbehorende servicetags.

Het is daarom essentieel dat u ervoor zorgt dat de volgende configuratieproblemen niet aanwezig zijn in uw omgeving:

Configuratieproblemen in vm's

De meeste verbindingsproblemen worden veroorzaakt door de configuratie binnen de VM in plaats van door Azure configuratie van de netwerklaag.

VPN-clients en beveiligde webgatewayagents

Organisaties implementeren VPN-clients of beveiligde webgatewayagents op cloud-pc's en sessiehosts om beveiligingsbeleid af te dwingen. Voorbeelden zijn Zscaler Internet Access, Microsoft Entra Internettoegang, PaloAlto Global Protect, enzovoort.

Wanneer deze agents worden uitgevoerd in de modus voor geforceerde tunnel, leiden ze al het verkeer om via een virtuele adapter. Deze configuratie kan verkeer naar Azure platformadressen omvatten, waardoor de verbinding wordt verbroken.

Wat u moet controleren:

• Gebruik split tunneling zodat Azure-platformverkeer lokaal blijft

• Expliciete bypass- of uitsluitingsregels configureren voor 169.254.169.254 en 168.63.129.16

Proxy- en PAC-configuratie

Proxy-instellingen die worden toegepast via PAC-bestanden, groepsbeleid, WinHTTP, WinINET of toepassingsspecifieke instellingen kunnen ertoe leiden dat de VM Azure platformverkeer proxyt.

Wat u moet controleren:

• PAC-bestanden retourneren een directe verbinding voor deze adressen

• Lijsten voor het omzeilen van proxy's bevatten beide adressen

• Proxy-instellingen op gebruikers- en machineniveau worden gecontroleerd

Firewallregels hosten

Hostfirewalls of endpoint protection-software kunnen uitgaand TCP-verkeer blokkeren.

Wat u moet controleren:

• Uitgaand TCP-verkeer toestaan op 169.254.169.254 op poort 80

• Uitgaand TCP-verkeer toestaan tot 168.63.129.16 op poorten 80 en 32526

Software voor eindpuntbeveiliging en netwerkfilters

Antivirus,Endpoint Detections & Response (EDR) of DLP-hulpprogramma's (Preventie van gegevensverlies) kunnen netwerkinspectiefuncties bevatten.

Wat u moet controleren:

• Zorg ervoor dat deze hulpprogramma's geen verkeer naar deze adressen blokkeren of inspecteren

• Op IP gebaseerde regels voor toestaan of uitsluiten toevoegen waar nodig

configuratieproblemen met Azure netwerklaag

Netwerkbeveiligingsgroepen

Azure definieert servicetags voor deze eindpunten:

• AzurePlatformIMDS voor 169.254.169.254

• AzurePlatformDNS voor 168.63.129.16

Expliciete weigeringsregels voor deze servicetags kunnen de connectiviteit verstoren.

Wat u moet controleren:

• Regels voor weigeren verwijderen die zijn gericht op deze servicetags of -adressen

• Zorg ervoor dat beperkende uitgaande regels voor weigeren expliciete regels voor toestaan voor deze servicetags bevatten

Door de gebruiker gedefinieerde routes en virtuele netwerkapparaten

Azure platformroutering zorgt normaal gesproken voor bereikbaarheid, ongeacht de standaardroutes. Expliciete routes of complexe routeringstopologieën kunnen echter problemen veroorzaken.

Wat u moet controleren:

• Geen routes zijn expliciet gericht op 169.254.169.254 of 168.63.129.16

• Firewalls of virtuele netwerkapparaten in het pad staan uitgaand verkeer naar deze adressen en poorten toe

statuscontroles voor Azure netwerkverbinding

Windows 365 Enterprise maakt gebruik van Azure-netwerkverbindingen om cloud-pc's in te richten. Elke verbinding bevat geautomatiseerde statuscontroles waarmee de netwerkverbinding wordt gevalideerd.

Welke statuscontroles valideren

• Netwerkinfrastructuurverbinding met Azure platformeindpunten

• Configuratie van netwerkbeveiligingsgroep

• Configuratie van routetabel

• DNS-omzetting met behulp van Azure opgegeven DNS

Welke statuscontroles worden niet gevalideerd

• VPN-clients of beveiligde webgatewayagents geïnstalleerd na inrichting

• Proxy- of PAC-configuratie toegepast via groepsbeleid of Intune

• Hostfirewallregels of eindpuntbeveiligingssoftware

• Configuratie toegepast in de VM na toewijzing

Een passerende statuscontrole bevestigt dat het Azure-netwerk platformverkeer toestaat. Het garandeert niet dat cloud-pc's of sessiehosts deze eindpunten kunnen bereiken nadat de in-VM-configuratie is toegepast.

Samenvatting

Connectiviteit met 169.254.169.254 en 168.63.129.16 is vereist voor Azure Virtual Desktop en Windows 365. Het blokkeren van deze eindpunten leidt tot inrichtings- en operationele problemen met zowel Windows 365 als Azure Virtual Desktop.

Deze adressen zijn Azure-interne platformeindpunten. Verkeer naar deze adressen mag niet worden geproxied, onderschept of gerouteerd via VPN-tunnels of beveiligde webgateways.

De meeste verbindingsfouten worden veroorzaakt door configuratie binnen de VM, zoals VPN-clients, proxy-instellingen, hostfirewalls of eindpuntbeveiligingssoftware. Problemen met de netwerklaag komen minder vaak voor, maar kunnen optreden wanneer expliciete regels gericht zijn op deze adressen of de bijbehorende servicetags.

Azure De statuscontroles van de netwerkverbinding valideren alleen de connectiviteit op de netwerklaag. Ze detecteren geen configuratieproblemen in de VM.