Beginselen voor Microsoft 365-netwerkverbindingen

Dit artikel is van toepassing op Microsoft 365 Enterprise en Office 365 Enterprise.

Voordat u begint met het plannen van uw netwerk voor Microsoft 365-netwerkconnectiviteit, is het belangrijk om de connectiviteitsprincipes te begrijpen voor het veilig beheren van Microsoft 365-verkeer en het verkrijgen van de best mogelijke prestaties. Dit artikel helpt u de meest recente richtlijnen te begrijpen voor het veilig optimaliseren van Microsoft 365-netwerkconnectiviteit.

Traditionele bedrijfsnetwerken zijn primair ontworpen om gebruikers toegang te bieden tot applicaties en gegevens die worden gehost in door het bedrijf geëxploiteerde datacentra met een sterke perimeterbeveiliging. In het traditionele model wordt ervan uitgegaan dat gebruikers toegang hebben tot toepassingen en gegevens vanuit het bedrijfsnetwerk, via WAN-koppelingen van filialen of extern via VPN-verbindingen.

Door het gebruik van SaaS-applicaties zoals Microsoft 365 wordt een combinatie van services en gegevens buiten de netwerkperimeter verplaatst. Zonder optimalisering is het verkeer tussen gebruikers en SaaS-applicaties onderhevig aan latentie die wordt geïntroduceerd door pakketinspectie, netwerk-hairpins, onbedoelde verbindingen met geografisch verre eindpunten en andere factoren. U kunt de beste prestaties en betrouwbaarheid van Microsoft 365 garanderen door de belangrijkste optimaliseringsrichtlijnen te begrijpen en te implementeren.

In dit artikel vindt u meer informatie over:

• Microsoft 365-architectuur zoals deze van toepassing is op klantconnectiviteit met de cloud
• Bijgewerkte Microsoft 365-verbindingsprincipes en strategieën voor het optimaliseren van netwerkverkeer en de eindgebruikerservaring
• De Microsoft 365-eindpuntenwebservice, waarmee netwerkbeheerders een gestructureerde lijst met eindpunten kunnen gebruiken voor gebruik bij netwerkoptimalisatie
• Richtlijnen voor het optimaliseren van de connectiviteit met Microsoft 365-services
• Netwerkperimeterbeveiliging in vergelijking met eindpuntbeveiliging
• Incrementele optimaliserings opties voor Microsoft 365-verkeer
• De Microsoft 365-connectiviteitstest, een hulpprogramma voor het testen van basisconnectiviteit met Microsoft 365

Microsoft 365-architectuur

Microsoft 365 is een gedistribueerde SaaS-cloud (Software-as-a-Service) die productiviteits- en samenwerkingsscenario's biedt via een diverse set microservices en toepassingen. Voorbeelden hiervan zijn Exchange Online, SharePoint Online, Microsoft Teams, Office in een browser en vele andere. Hoewel specifieke Microsoft 365-toepassingen mogelijk hun unieke functies hebben als het van toepassing is op het netwerk van de klant en de connectiviteit met de cloud, delen ze allemaal enkele belangrijke principes, doelen en architectuurpatronen. Deze principes en architectuurpatronen voor connectiviteit zijn typerend voor veel andere SaaS-clouds. Tegelijkertijd verschillen ze van de typische implementatiemodellen van Platform-as-a-Service- en Infrastructure-as-a-Service-clouds, zoals Microsoft Azure.

Een van de belangrijkste architectonische kenmerken van Microsoft 365 (die vaak over het hoofd wordt gezien of verkeerd wordt geïnterpreteerd door netwerkarchitecten) is dat het een echt wereldwijde gedistribueerde service is, in de context van de manier waarop gebruikers er verbinding mee maken. De locatie van de doeltenant van Microsoft 365 is belangrijk om inzicht te hebben in de locatie waar klantgegevens in de cloud worden opgeslagen. Voor de gebruikerservaring met Microsoft 365 hoeft u echter niet rechtstreeks verbinding te maken met schijven met de gegevens. De gebruikerservaring met Microsoft 365 (inclusief prestaties, betrouwbaarheid en andere belangrijke kwaliteitskenmerken) omvat verbindingen via sterk gedistribueerde service-frontdoors die zijn opgeschaald over honderden Microsoft-locaties wereldwijd. In de meeste gevallen wordt de beste gebruikerservaring bereikt door het netwerk van de klant toe te staan gebruikersaanvragen om te leiden naar het dichtstbijzijnde Microsoft 365-servicetoegangspunt. Dit verdient de voorkeur boven het maken van verbinding met Microsoft 365 via een uitgangspunt op een centrale locatie of regio.

Voor de meeste klanten zijn Microsoft 365-gebruikers verspreid over verschillende locaties. Om de beste resultaten te bereiken, moeten de principes die in dit document worden uiteengezet worden bekeken vanuit het oogpunt van scale-out (niet scale-up). Terwijl we ons ook richten op het optimaliseren van de connectiviteit met het dichtstbijzijnde aanwezigheidspunt in het wereldwijde Microsoft-netwerk, niet met de geografische locatie van de Microsoft 365-tenant. In wezen betekent dit dat, hoewel Microsoft 365-tenantgegevens op een specifieke geografische locatie kunnen worden opgeslagen, de Microsoft 365-ervaring voor die tenant gedistribueerd blijft. Deze kan zeer dicht (netwerk)nabijheid aanwezig zijn van elke locatie van de eindgebruiker van de tenant.

Microsoft 365-connectiviteitsprincipes

Microsoft raadt de volgende principes aan om optimale Microsoft 365-connectiviteit en -prestaties te bereiken. Gebruik deze Microsoft 365-connectiviteitsprincipes om uw verkeer te beheren en de beste prestaties te krijgen wanneer u verbinding maakt met Microsoft 365.

Het primaire doel van het netwerkontwerp moet zijn om de latentie te minimaliseren door de round-trip time (RTT) van uw netwerk naar het Microsoft Global Network te verminderen. Dit is de openbare netwerk-backbone van Microsoft die alle datacentra van Microsoft met elkaar verbindt met een lage latentie en spreiding van de toegangspunten voor cloudtoepassingen rond de wereld. U kunt meer lezen over het Microsoft Global Network op Hoe Microsoft zijn snelle en betrouwbare wereldwijde netwerk opbouwt.

Microsoft 365-verkeer identificeren en onderscheiden

Het identificeren van Microsoft 365-netwerkverkeer is de eerste stap om dat verkeer te kunnen onderscheiden van generiek internetgebonden netwerkverkeer. Microsoft 365-connectiviteit kan worden geoptimaliseerd door een combinatie van benaderingen te implementeren, zoals optimalisatie van netwerkroutes, firewallregels en browserproxy-instellingen. Daarnaast is het ook nuttig om netwerkinspectieapparatuur voor bepaalde eindpunten te omzeilen.

Zie de sectie Connectiviteit optimaliseren met Microsoft 365-services voor meer informatie over Microsoft 365-optimalisatiemethoden .

Microsoft publiceert alle Microsoft 365-eindpunten als een webservice en geeft richtlijnen voor het beste gebruik van deze gegevens. Zie het artikel Microsoft 365 URL's en IP-adresbereiken voor meer informatie over het ophalen en werken met Microsoft 365-eindpunten.

Lokale uitgangen van netwerkverbindingen regelen

Lokale DNS en uitgaand internetverkeer zijn van cruciaal belang om verbindingslatentie te verminderen en ervoor te zorgen dat gebruikersverbindingen worden gemaakt met het dichtstbijzijnde toegangspunt tot Microsoft 365-services. In een complexe netwerktopologie is het belangrijk om lokale DNS en lokaal internetuitgangspunt samen te implementeren.

Vóór de komst van clouddiensten zoals Microsoft 365 was internetconnectiviteit voor eindgebruikers als ontwerpfactor in netwerkarchitectuur relatief eenvoudig. Wanneer internetservices en websites verspreid over de wereld zijn, wordt de latentie tussen uitgangspunten van bedrijven en een bepaald eindpunt van bestemming grotendeels bepaald door de geografische afstand.

In een traditionele netwerkarchitectuur doorkruisen alle uitgaande internetverbindingen het bedrijfsnetwerk en verlaten ze een centrale locatie. Naarmate de cloudaanbiedingen van Microsoft volwassener zijn geworden, is een gedistribueerde internetnetwerkarchitectuur van cruciaal belang geworden voor het ondersteunen van latentiegevoelige cloudservices. Het Microsoft Global Network is ontworpen om tegemoet te komen aan latentievereisten met behulp van de Distributed Service Front Door-infrastructuur. Dit is een dynamische structuur van wereldwijde toegangspunten die inkomende cloudservice-verbindingen naar het dichtstbijzijnde toegangspunt leidt. Dit is bedoeld om de lengte van de 'last mile' voor Microsoft-cloudklanten te verkleinen, door de route tussen de klant en de cloud effectief te verkorten.

Enterprise-WAN's zijn vaak ontworpen om netwerkverkeer voor inspectie naar een centraal hoofdkantoor van een bedrijf te backhaulen voordat het internet verlaat, meestal via een of meer proxyservers. In het volgende diagram ziet u een dergelijke netwerktopologie.

Omdat Microsoft 365 wordt uitgevoerd op het wereldwijde netwerk van Microsoft, dat front-endservers over de hele wereld omvat, is er vaak een front-endserver in de buurt van de locatie van de gebruiker. Door lokaal internetuitgangspunt te bieden en interne DNS-servers te configureren voor het bieden van lokale naamomzetting voor Microsoft 365-eindpunten, kan netwerkverkeer dat bestemd is voor Microsoft 365 verbinding maken met Microsoft 365-frontendservers, zo dicht mogelijk bij de gebruiker. In het volgende diagram ziet u een voorbeeld van een netwerktopologie waarmee gebruikers die verbinding maken vanaf het hoofdkantoor, filialen en externe locaties de kortste route kunnen volgen naar het dichtstbijzijnde Microsoft 365-toegangspunt.

Door het netwerkpad naar Microsoft 365-toegangspunten op deze manier te verkorten, kunnen de connectiviteitsprestaties en de eindgebruikerservaring in Microsoft 365 worden verbeterd. Het kan ook helpen om het effect van toekomstige wijzigingen in de netwerkarchitectuur op de prestaties en betrouwbaarheid van Microsoft 365 te verminderen.

DNS-verzoeken kunnen ook latentie veroorzaken als de reagerende DNS-server ver weg of bezet is. U kunt de latentie van naamomzetting minimaliseren door lokale DNS-servers in filialen in te richten en ervoor te zorgen dat ze zijn geconfigureerd om DNS-records op de juiste manier in de cache op te slaan.

Hoewel regionaal uitgaand verkeer goed kan werken voor Microsoft 365, zou het optimale connectiviteitsmodel zijn om altijd netwerkuitgaand verkeer te bieden op de locatie van de gebruiker, ongeacht of deze zich in het bedrijfsnetwerk bevindt of op externe locaties zoals huizen, hotels, coffeeshops en luchthavens. Dit lokale model voor direct uitgaand verkeer wordt weergegeven in het volgende diagram.

Bedrijven die Microsoft 365 hebben geadopteerd, kunnen profiteren van de Distributed Service Front Door-architectuur van Microsoft Global Network door ervoor te zorgen dat gebruikersverbindingen met Microsoft 365 de kortst mogelijke route naar het dichtstbijzijnde Microsoft Global Network-toegangspunt nemen. De netwerkarchitectuur voor lokaal uitgaand verkeer doet dit door toe te staan dat Microsoft 365-verkeer wordt gerouteerd via de dichtstbijzijnde uitgang, ongeacht de locatie van de gebruiker.

De architectuur voor lokaal uitgaand verkeer heeft de volgende voordelen ten opzichte van het traditionele model:

• Biedt optimale Microsoft 365-prestaties door de lengte van de route te optimaliseren. Verbindingen met eindgebruikers worden dynamisch gerouteerd naar het dichtstbijzijnde Microsoft 365-toegangspunt door de Distributed Service Front Door-infrastructuur.
• Vermindert de belasting van de bedrijfsnetwerkinfrastructuur door lokale uitgaand verkeer toe te staan.
• Beveiligt verbindingen aan beide zijden met behulp van functies voor clienteindpuntbeveiliging en cloudbeveiliging.

Netwerk-hairpins vermijden

Als algemene vuistregel geldt dat de kortste, meest directe route tussen de gebruiker en het dichtstbijzijnde Microsoft 365-eindpunt de beste prestaties biedt. Een netwerk-hairpin treedt op wanneer WAN- of VPN-verkeer dat bestemd is voor een bepaalde bestemming, eerst naar een andere tussenliggende locatie wordt geleid (zoals een beveiligings-stack, Cloud Access Broker of een op cloud gebaseerde webgateway), hetgeen kan leiden tot latentie en mogelijke omleiding naar een geografisch ver verwijderd eindpunt. Netwerk-hairpins worden ook veroorzaakt door inefficiënties in routering/peering of suboptimale (externe) DNS-lookups.

Om ervoor te zorgen dat Microsoft 365-connectiviteit niet onderhevig is aan netwerk-hairpins, zelfs niet in het geval van lokaal uitgangspunt, controleert u of de ISP die wordt gebruikt voor internetuitgang voor de gebruikerslocatie, een directe peeringrelatie heeft met het wereldwijde netwerk van Microsoft in de buurt van die locatie. U kunt ook uitgaande routing configureren om vertrouwd Microsoft 365-verkeer rechtstreeks te verzenden. Dit is in tegenstelling tot proxying of tunneling via een externe leverancier van cloud- of cloudgebaseerde netwerkbeveiliging die uw internetverkeer verwerkt. Lokale DNS-naamomzetting van Microsoft 365-eindpunten helpt ervoor te zorgen dat naast directe routering ook de dichtstbijzijnde Microsoft 365-toegangspunten worden gebruikt voor gebruikersverbindingen.

Als u cloudgebaseerde netwerk- of beveiligingsservices gebruikt voor uw Microsoft 365-verkeer, moet u ervoor zorgen dat het resultaat van de hairpin wordt geëvalueerd en het effect ervan op de prestaties van Microsoft 365 wordt begrepen. U kunt dit doen door het aantal en de locaties van de serviceproviderlocaties te bekijken waarlangs het verkeer wordt doorgestuurd in verhouding tot het aantal van uw filialen en de peeringpunten van het Microsoft Global Network, de kwaliteit van de netwerkpeeringrelatie van de serviceprovider met uw internetprovider en Microsoft, en het prestatie-effect van backhauling in de infrastructuur van de serviceprovider.

Vanwege het grote aantal gedistribueerde locaties met Microsoft 365-toegangspunten en de nabijheid ervan tot eindgebruikers, kan het routeren van Microsoft 365-verkeer naar een externe netwerk- of beveiligingsprovider een nadelig effect hebben op Microsoft 365-verbindingen als het providernetwerk niet is geconfigureerd voor optimale Microsoft 365-peering.

Het omzeilen van proxy's, inspectie apparaten voor netwerkverkeer en gedupliceerde beveiligingstechnologieën beoordelen

Enterprise-klanten moeten hun methoden voor netwerkbeveiliging en risicobeperking specifiek voor Microsoft 365-gebonden verkeer herzien en Microsoft 365-beveiligingsfuncties gebruiken om hun afhankelijkheid van opdringerige, prestatie-beïnvloedende en dure netwerkbeveiligingstechnologieën voor Microsoft 365-netwerkverkeer te verminderen.

De meeste bedrijfsnetwerken dwingen netwerkbeveiliging af voor internetverkeer met technologieën zoals proxy's, TLS-inspectie, pakketinspectie en systemen voor preventie van gegevensverlies. Deze technologieën bieden een belangrijke risicobeperking voor generieke internetaanvragen, maar kunnen de prestaties, schaalbaarheid en de kwaliteit van de eindgebruikerservaring drastisch verminderen wanneer ze worden toegepast op Microsoft 365-eindpunten.

Microsoft 365-eindpuntenwebservice

Microsoft 365-beheerders kunnen een script of REST-aanroep gebruiken om een gestructureerde lijst met eindpunten van de Microsoft 365-eindpuntenwebservice te gebruiken en de configuraties van perimeterfirewalls en andere netwerkapparaten bij te werken. Dit zorgt ervoor dat verkeer voor Microsoft 365 anders wordt geïdentificeerd, op de juiste manier wordt behandeld en anders wordt beheerd dan netwerkverkeer voor generieke en vaak onbekende internetwebsites. Zie het artikel Microsoft 365 URL's en IP-adresbereiken voor meer informatie over het gebruik van de Microsoft 365-eindpuntenwebservice.

PAC-scripts (Proxy Automatic-Configuration)

Microsoft 365-beheerders kunnen PAC-scripts (Proxy Automatic Configuration) maken die via WPAD of GPO aan gebruikerscomputers kunnen worden geleverd. PAC-scripts kunnen worden gebruikt om proxy's voor Microsoft 365-aanvragen van WAN- of VPN-gebruikers te omzeilen, zodat Microsoft 365-verkeer directe internetverbindingen kan gebruiken in plaats van het bedrijfsnetwerk te doorkruisen.

Zie Microsoft 365-eindpunten beheren voor meer informatie over het gebruik van PAC-bestanden om de netwerkconnectiviteit op clientapparaten te optimaliseren.

Beveiligingsfuncties in Microsoft 365

Microsoft is transparant over datacenterbeveiliging, operationele beveiliging en risicovermindering rond Microsoft 365-servers en de netwerkeindpunten die ze vertegenwoordigen. Er zijn ingebouwde beveiligingsfuncties van Microsoft 365 beschikbaar om netwerkbeveiligingsrisico's te verminderen, zoals Microsoft Purview-preventie van gegevensverlies, antivirus, meervoudige verificatie, klanten-lockbox, Defender voor Office 365, Microsoft 365 Bedreigingsinformatie, Microsoft 365 Secure Score, de ingebouwde beveiligingsfuncties voor alle cloudservices postvakken en DDOS-netwerkbeveiliging.

Zie het Microsoft Vertrouwenscentrum voor meer informatie over het datacenter van Microsoft en Global Network Security.

Connectiviteit met Microsoft 365-services optimaliseren

Microsoft 365-services zijn een verzameling dynamische, onderling afhankelijke en diep geïntegreerde producten, toepassingen en services. Bij het configureren en optimaliseren van de connectiviteit met Microsoft 365-services is het niet haalbaar om specifieke eindpunten (domeinen) te koppelen aan enkele Microsoft 365-scenario's om acceptatielijsten op netwerkniveau te implementeren. Microsoft biedt geen ondersteuning voor selectieve acceptatielijst omdat dit connectiviteits- en service-incidenten voor gebruikers veroorzaakt. Netwerkbeheerders moeten daarom altijd Microsoft 365-richtlijnen voor de lijst met toegestane netwerkinstellingen en algemene netwerkoptimalisaties toepassen op de volledige set vereiste netwerkeindpunten (domeinen) die regelmatig worden gepubliceerd en bijgewerkt. Hoewel we Microsoft 365-netwerkeindpunten vereenvoudigen als reactie op feedback van klanten, moeten netwerkbeheerders zich bewust zijn van de volgende kernpatronen in de huidige set bestaande eindpunten:

• Waar mogelijk bevatten de gepubliceerde domeineindpunten jokertekens om de netwerkconfiguratie voor klanten aanzienlijk te verminderen.
  • Microsoft 365 heeft een initiatief voor domeinconsolidatie (cloud.microsoft) aangekondigd, waarmee klanten hun netwerkconfiguraties kunnen vereenvoudigen en automatisch netwerkoptimalisaties voor dit domein kunnen toepassen op veel huidige en toekomstige Microsoft 365-services.
  • Exclusief gebruik van het hoofddomein cloud.microsoft voor beveiliging, isolatie en specifieke functies. Hierdoor kunnen netwerk- en beveiligingsteams van klanten Microsoft 365-domeinen vertrouwen, terwijl de connectiviteit met deze eindpunten wordt verbeterd en onnodige verwerking van netwerkbeveiliging wordt voorkomen.
  • Bepaalde eindpuntdefinities specificeren unieke IP-voorvoegsels die overeenkomen met hun domeinen. Deze functie ondersteunt klanten met ingewikkelde netwerkstructuren, waardoor ze nauwkeurige netwerkoptimalisaties kunnen toepassen door gebruik te maken van IP-voorvoegsels.

De volgende netwerkconfiguraties worden aanbevolen voor alle vereiste Microsoft 365-netwerkeindpunten (domeinen) en categorieën:

• Microsoft 365-netwerkeindpunten expliciet toestaan in de netwerkapparaten en -services die gebruikersverbindingen doorlopen (bijvoorbeeld apparaten voor netwerkperimeterbeveiliging zoals proxy's, firewalls, DNS, cloudgebaseerde netwerkbeveiligingsoplossingen, enzovoort)
  • Omzeil Microsoft 365-domeinen van TLS-ontsleuteling, onderschepping van verkeer, diepe pakketinspectie en filteren van netwerkpakketten en inhoud. Houd er rekening mee dat veel resultaten waarvoor klanten deze netwerktechnologieën gebruiken in de context van niet-vertrouwde/niet-beheerde toepassingen, kunnen worden bereikt door Microsoft 365-beveiligingsfuncties in het eigen programma.
  • Directe internettoegang moet prioriteit krijgen voor de Microsoft 365-domeinen door minder afhankelijk te zijn van WAN-backhauling (Wide Area Network), netwerk-hairpins te voorkomen en een efficiënter internetuitgangspunt lokaal voor de gebruikers en rechtstreeks naar het Microsoft-netwerk mogelijk te maken.
  • Zorg ervoor dat DNS-naamresolutie dicht bij het netwerkuitgangspunt plaatsvindt om ervoor te zorgen dat verbindingen worden uitgevoerd via de meest optimale Microsoft 365-voordeur.
  • Geef prioriteit aan Microsoft 365-verbindingen langs het netwerkpad om de capaciteit en kwaliteit van de service voor Microsoft 365-ervaringen te waarborgen.
  • Omzeil verkeersbemiddelingsapparaten zoals proxy's en VPN-services.

Microsoft 365-connectiviteitsrichtlijnen zijn ontworpen rond domeingebaseerde eindpuntidentificatie. Microsoft raadt aan om de gepubliceerde domeineindpuntgegevens te gebruiken die beschikbaar zijn https://aka.ms/m365endpoints als primaire bron voor Microsoft 365-netwerkconfiguratie, acceptatielijst en connectiviteitsoptimalisatie.

Sommige klanten met complexe netwerktopologieën gebruiken mogelijk ook gepubliceerde IP-voorvoegselgegevens, indien beschikbaar, ter ondersteuning van specifieke netwerkoptimalisaties, zoals aangepaste routering, split-tunnel-VPN's en proxy-bypass. Hoewel Microsoft IP-voorvoegsels publiceert voor sommige Microsoft 365-services, zijn veel eindpunten voor cloudservices dynamisch van aard en kunnen de bijbehorende IP-adressen in de loop van de tijd veranderen. Voor deze eindpunten worden alleen eindpuntgegevens op basis van een domein gepubliceerd en worden er geen bijbehorende IP-adresgegevens verstrekt.

Aanvullende netwerkoverwegingen

Bij het optimaliseren van de connectiviteit met Microsoft 365 kunnen bepaalde netwerkconfiguraties een negatieve invloed hebben op de beschikbaarheid, interoperabiliteit, prestaties en gebruikerservaring van Microsoft 365. Microsoft heeft de volgende netwerkscenario's niet getest met onze services en het is bekend dat deze verbindingsproblemen kunnen veroorzaken.

• TLS-beëindiging of deep packet-inspectie van Microsoft 365-domeinen met klantproxy's of andere typen netwerkapparaten of -services.
• Het blokkeren van specifieke protocollen of protocolversies zoals QUIC, WebSocket's, enz. door tussenliggende netwerkinfrastructuur of -service.
• Het forceren van downgrade of failover van protocollen (zoals UDP --> TCP, TLS1.3 --> TLS1.2 --> TLS1.1) die worden gebruikt tussen clienttoepassingen en Microsoft 365-services.
• Verbindingen routeren via netwerkinfrastructuur die een eigen verificatie toepassen, zoals proxyverificatie.

We raden klanten aan om deze netwerktechnieken niet te gebruiken voor verkeer dat bestemd is voor Microsoft 365-domeinen en deze over te slaan voor Microsoft 365-verbindingen.

Microsoft raadt aan een geautomatiseerd systeem in te stellen om de lijst met Microsoft 365-netwerkeindpunten regelmatig te downloaden en toe te passen. Raadpleeg Beheer wijzigen voor Microsoft 365 IP-adressen en URL's voor meer informatie.

Netwerkperimeterbeveiliging in vergelijking met eindpuntbeveiliging

Het doel van traditionele netwerkbeveiliging is om de perimeter van het bedrijfsnetwerk te beschermen tegen indringing en kwaadwillende exploits. Terwijl organisaties Microsoft 365 gaan gebruiken, worden sommige netwerkdiensten en gegevens gedeeltelijk of volledig naar de cloud gemigreerd. Zoals voor elke fundamentele wijziging in de netwerkarchitectuur, vereist dit proces een herevaluatie van de netwerkbeveiliging waarbij rekening wordt gehouden met nieuwe factoren:

• Naarmate cloudservices in gebruik worden genomen, worden netwerkservices en gegevens gedistribueerd tussen lokale datacentra en de cloud en is de perimeterbeveiliging op zichzelf niet langer toereikend.
• Externe gebruikers maken verbinding met bedrijfsbronnen, zowel in lokale datacentra als in de cloud vanaf ongecontroleerde locaties zoals huizen, hotels en cafés.
• Speciaal gebouwde beveiligingsfuncties worden steeds vaker in cloudservices ingebouwd en kunnen mogelijk bestaande beveiligingssystemen aanvullen of vervangen.

Microsoft biedt een breed scala aan Microsoft 365-beveiligingsfuncties en biedt voorgeschreven richtlijnen voor het toepassen van best practices op het gebied van beveiliging die u kunnen helpen de gegevens- en netwerkbeveiliging voor Microsoft 365 te waarborgen. Aanbevolen procedures zijn onder andere:

• Meervoudige verificatie (MFA) gebruiken MFA voegt een extra beveiligingslaag toe aan een strategie met sterke wachtwoorden. Het komt erop neer dat gebruikers een telefoongesprek, sms-bericht of app-melding op hun smartphone moeten bevestigen nadat ze hun wachtwoord hebben ingevoerd.

• Microsoft Defender voor cloud-apps gebruiken Configureer beleidsregels om afwijkende activiteiten bij te houden en erop te reageren. Stel waarschuwingen in met Microsoft Defender for Cloud Apps, zodat beheerders ongebruikelijke of riskante gebruikersactiviteiten kunnen bekijken, zoals het downloaden van grote hoeveelheden gegevens, meerdere mislukte aanmeldingspogingen of verbindingen vanaf onbekende of gevaarlijke IP-adressen.

• Preventie van gegevensverlies (DLP) configureren Met DLP kunt u gevoelige gegevens identificeren en beleidsregels opstellen die helpen voorkomen dat gebruikers per ongeluk of opzettelijk de gegevens delen. DLP werkt overal binnen Microsoft 365, inclusief Exchange Online, SharePoint Online en OneDrive, zodat uw gebruikers zich aan de regels kunnen houden zonder dat ze hun werkstroom hoeven te onderbreken.

• Customer Lockbox gebruiken Als beheerder van Microsoft 365 kunt u met Customer Lockbox bepalen hoe een ondersteuningstechnicus van Microsoft op afstand toegang krijgt tot uw gegevens. In gevallen waarin de technicus toegang nodig heeft tot uw gegevens om een probleem op te sporen en op te lossen, kunt u via Customer Lockbox de aanvraag voor toegang goedkeuren of weigeren.

• Secure Score gebruiken

Een hulpprogramma voor beveiligingsanalyse waarin wordt aanbevolen wat u kunt doen om risico's verder te verminderen. Secure Score analyseert uw Microsoft 365-instellingen en -activiteiten en vergelijkt deze met een basislijn die is vastgesteld door Microsoft. U krijgt een score op basis van hoe goed u bent afgestemd op de beste beveiligingsprocedures.

Een holistische aanpak voor een betere beveiliging moet rekening houden met het volgende:

• Verplaats de nadruk van perimeterbeveiliging naar eindpuntbeveiliging door cloudgebaseerde en beveiligingsfuncties voor Office-clients toe te passen.
  • De beveiligingsperimeter naar het datacenter verkleinen
  • Gelijkwaardig vertrouwen inschakelen voor gebruikersapparaten op kantoor of op externe locaties
  • Focus op het beveiligen van de gegevenslocatie en de gebruikerslocatie
  • Beheerde gebruikersmachines hebben een betere vertrouwensrelatie met eindpuntbeveiliging
• Beheer alle informatiebeveiliging holistisch, niet alleen gericht op de perimeter
  • Herdefinieer WAN en bouw perimeternetwerkbeveiliging door vertrouwd verkeer toe te staan beveiligingsapparaten te omzeilen en onbeheerde apparaten te scheiden van Wi-Fi-gastnetwerken
  • Verlaag de netwerkbeveiligingsvereisten van de zakelijke WAN-rand
  • Sommige apparaten voor netwerkperimeterbeveiliging, zoals firewalls, zijn nog steeds vereist, maar de belasting wordt verminderd
  • Zorgt voor lokaal uitgaand verkeer voor Microsoft 365-verkeer
• Verbeteringen kunnen incrementeel worden aangepakt, zoals beschreven in de sectie Incrementele optimalisering. Sommige optimalisatietechnieken bieden mogelijk betere kosten-batenverhoudingen, afhankelijk van uw netwerkarchitectuur, en u kunt beter optimalisaties kiezen die het meest zinvol zijn voor uw organisatie.

Zie de artikelen Microsoft 365-beveiliging en Microsoft Purviewvoor meer informatie over beveiliging en naleving in Microsoft 365.

Incrementele optimalisering

We hebben eerder in dit artikel het ideale netwerkconnectiviteitsmodel voor SaaS voorgesteld, maar voor veel grote organisaties met historisch complexe netwerkarchitecturen is het niet praktisch om al deze wijzigingen direct door te voeren. In deze sectie bespreken we veel incrementele wijzigingen die kunnen helpen om de prestaties en betrouwbaarheid van Microsoft 365 te verbeteren.

De methoden die u gebruikt om Microsoft 365-verkeer te optimaliseren, zijn afhankelijk van uw netwerktopologie en de netwerkapparaten die u hebt geïmplementeerd. Grote ondernemingen met veel locaties en complexe netwerkbeveiligingsprocedures moeten een strategie ontwikkelen die de meeste of alle principes omvat die worden vermeld in de sectie Microsoft 365-connectiviteitsprincipes , terwijl kleinere organisaties er misschien maar een of twee hoeven te overwegen.

U kunt optimalisering benaderen als een incrementeel proces, waarbij u elke methode achtereenvolgens toepast. De volgende tabel bevat de belangrijkste optimalisatiemethoden op volgorde van hun effect op de latentie en betrouwbaarheid voor het grootste aantal gebruikers.

Verwante onderwerpen

• Overzicht van netwerkverbindingen voor Microsoft 365
• Microsoft 365-eindpunten beheren
• URL's en IP-adresbereiken voor Microsoft 365
• IP-adres en URL-webservice van Microsoft 365
• Microsoft 365-netwerkverbindingen evalueren
• Netwerkplanning en prestaties optimaliseren voor Microsoft 365
• Microsoft 365-prestatieafstemming op basis van basislijnen en prestatiegeschiedenis
• Prestatieproblemen met Microsoft 365 oplossen: planning
• Netwerken voor contentlevering
• Microsoft 365-connectiviteitstest
• Hoe Microsoft zijn snelle en betrouwbare wereldwijde netwerk opbouwt
• Microsoft 365 Networking-blog