Wymagane nazwy FQDN i punkty końcowe dla usługi Azure Virtual Desktop

Aby wdrożyć usługę Azure Virtual Desktop i umożliwić użytkownikom nawiązanie połączenia, należy zezwolić na określone nazwy FQDN i punkty końcowe. Użytkownicy muszą mieć również możliwość łączenia się z określonymi nazwami FQDN i punktami końcowymi, aby uzyskać dostęp do swoich zasobów usługi Azure Virtual Desktop. W tym artykule wymieniono wymagane nazwy FQDN i punkty końcowe, na które musisz zezwolić dla hostów i użytkowników sesji.

Te nazwy FQDN i punkty końcowe mogą być zablokowane, jeśli korzystasz z zapory, takiej jak Azure Firewall, lub usługi serwera proxy. Aby uzyskać wskazówki dotyczące używania usługi serwera proxy z usługą Azure Virtual Desktop, zobacz Wskazówki dotyczące usługi proxy dla usługi Azure Virtual Desktop.

Możesz sprawdzić, czy maszyny wirtualne hosta sesji mogą łączyć się z tymi nazwami FQDN i punktami końcowymi, wykonując kroki w celu uruchomienia narzędzia adresu URL agenta usługi Azure Virtual Desktop w polu Sprawdzanie dostępu do wymaganych nazw FQDN i punktów końcowych dla usługi Azure Virtual Desktop. Narzędzie adresu URL agenta usługi Azure Virtual Desktop sprawdza poprawność każdej nazwy FQDN i punktu końcowego oraz pokazuje, czy hosty sesji mogą uzyskać do nich dostęp.

Ważna

Firma Microsoft nie obsługuje wdrożeń usługi Azure Virtual Desktop, w których nazwy FQDN i punkty końcowe wymienione w tym artykule są zablokowane. Ten artykuł nie zawiera nazw FQDN i punktów końcowych innych usług, takich jak usługa Microsoft Entra ID, usługa Office 365, niestandardowi dostawcy DNS lub usługi czasu. Nazwy FQDN i punkty końcowe usługi Microsoft Entra można znaleźć pod identyfikatorami 46, 56, 59 i 125 w zakresach adresów IP i adresach URL usługi Office 365, które mogą być wymagane w środowiskach sieciowych z ograniczeniami.

Tagi usług i tagi nazw FQDN

Tagi usług reprezentują grupy prefiksów adresów IP z danej usługi platformy Azure. Firma Microsoft zarządza prefiksami adresów zawartymi w tagu usługi i automatycznie aktualizuje tag usługi w przypadku zmiany adresu, minimalizując złożoność częstych aktualizacji reguł zabezpieczeń sieci. Tagi usługi mogą być używane w regułach sieciowych grup zabezpieczeń i usługi Azure Firewall w celu ograniczenia wychodzącego dostępu do sieci. Tagi usługi mogą być również używane w trasach zdefiniowanych przez użytkownika (UDR) w celu dostosowania zachowania routingu ruchu.

Usługa Azure Firewall obsługuje także tagi FQDN, które reprezentują grupę w pełni kwalifikowanych nazw domen (FQDN) skojarzonych z dobrze znaną platformą Azure i innymi usługami firmy Microsoft. Usługa Azure Virtual Desktop nie ma listy zakresów adresów IP, które można odblokować zamiast nazw FQDN, aby zezwolić na ruch sieciowy. Jeśli korzystasz z zapory nowej generacji (NGFW), aby zapewnić możliwość połączenia, musisz użyć dynamicznej listy adresów IP platformy Azure. Aby uzyskać więcej informacji, zobacz Używanie usługi Azure Firewall do ochrony wdrożeń usługi Azure Virtual Desktop.

Usługa Azure Virtual Desktop ma dostępny zarówno tag usługi, jak i wpis tagu FQDN. Zalecamy korzystanie z tagów usług i tagów FQDN, aby uprościć konfigurację sieci platformy Azure.

Maszyny wirtualne hosta sesji

Poniższa tabela zawiera listę nazw FQDN i punktów końcowych, do których maszyny wirtualne hosta sesji muszą mieć dostęp dla usługi Azure Virtual Desktop. Wszystkie wpisy są wychodzące; nie musisz otwierać portów przychodzących dla usługi Azure Virtual Desktop. Wybierz odpowiednią kartę w zależności od używanej chmury.

Adres Protocol (Protokół) Port wyjściowy Przeznaczenie Numer seryjny usługi
login.microsoftonline.com TCP 443 Uwierzytelnianie w witrynie Microsoft Online Services AzureActiveDirectory
51.5.0.0/16 UDP 3478 Łączność przekazywana RDP WindowsVirtualDesktop
*.wvd.microsoft.com TCP 443 Ruch usługi, w tym łączność RDP oparta na protokole TCP WindowsVirtualDesktop
catalogartifact.azureedge.net TCP 443 Witryna Azure Marketplace AzureFrontDoor.Frontend
*.prod.warm.ingest.monitor.core.windows.net TCP 443 Ruch agenta
Wynik diagnostyki		 AzureMonitor
gcs.prod.monitoring.core.windows.net TCP 443 Ruch agenta AzureMonitor
azkms.core.windows.net TCP 1688 Aktywacja systemu Windows Internet
mrsglobalsteus2prod.blob.core.windows.net TCP 443 Aktualizacje agentów i stosu równoległego dostępu (SXS) Storage
wvdportalstorageblob.blob.core.windows.net TCP 443 Pomoc techniczna usługi Azure Portal AzureCloud
oneocsp.microsoft.com TCP 80 Certyfikaty AzureFrontDoor.FirstParty
www.microsoft.com TCP 80 Certyfikaty Nie dotyczy
*.aikcertaia.microsoft.com TCP 80 Certyfikaty Nie dotyczy
azcsprodeusaikpublish.blob.core.windows.net TCP 80 Certyfikaty Nie dotyczy
*.microsoftaik.azure.net TCP 80 Certyfikaty Nie dotyczy
ctldl.windowsupdate.com TCP 80 Certyfikaty Nie dotyczy
aka.ms TCP 443 Narzędzie do skracania adresów URL firmy Microsoft, używane podczas wdrażania hosta sesji na platformie Azure lokalnie Nie dotyczy
*.service.windows.cloud.microsoft TCP 443 Ruch związany z usługą WindowsVirtualDesktop
*.windows.cloud.microsoft TCP 443 Ruch związany z usługą Nie dotyczy
*.windows.static.microsoft TCP 443 Ruch związany z usługą Nie dotyczy

Adresy IP komunikacji sieci szkieletowej platformy Azure

Maszyny wirtualne hosta sesji i komputery w chmurze wymagają dostępu do dwóch adresów IP platformy Azure w celu pobrania metadanych maszyny wirtualnej i wysyłania sygnałów monitorowania kondycji. Te adresy działają inaczej niż nazwy FQDN wymienione w poprzedniej tabeli i wymagają określonej konfiguracji sieci.

Ważna

Te adresy IP są Azure-wewnętrznymi punktami końcowymi platformy. Ruch do tych adresów nie może być przechwytywany, proxowany ani przekierowywany. Konfiguracje sieci, które blokują lub przekierowują ten ruch, spowodują błędy inicjowania obsługi, problemy z monitorowaniem kondycji oraz problemy z połączeniem zarówno dla usługi Azure Virtual Desktop, jak i platformy Windows 365.

Adres Protocol (Protokół) Port wyjściowy Przeznaczenie Service Tag
169.254.169.254 TCP 80 Usługa metadanych wystąpienia platformy Azure (IMDS) Nie dotyczy
168.63.129.16 TCP/UDP 80, 32526 (TCP), 53 (TCP/UDP) Azure Platform Service Connectivity Nie dotyczy

Dlaczego te adresy się różnią

  • 169.254.169.254 (IMDS): Adres lokalny linku, który zawiera metadane maszyny wirtualnej oraz informacje o tożsamości. Ruch jest dostępny tylko z maszyny wirtualnej i nigdy nie opuszcza hosta.

  • 168.63.129.16 (WireServer): Używany przez agenta maszyny wirtualnej platformy Azure na potrzeby sygnałów kondycji i podstawowej komunikacji platformy, w tym systemu DNS (w przypadku korzystania z serwera DNS dostarczanego przez platformę Azure) i protokołu DHCP. Port 53 (UDP/TCP) dla tego adresu IP jest wymagany tylko w przypadku korzystania z systemu DNS dostarczanego przez platformę Azure. Jeśli skonfigurowano niestandardowy system DNS, zapytania DNS są kierowane do tego kraju i należy upewnić się, że łączność z serwerami DNS jest również możliwa w sieci wirtualnej.

Te adresy są dostępne we wszystkich regionach i chmurach platformy Azure. Routing platformy platformy platformy Azure chroni ten ruch w warstwie sieci szkieletowej, więc standardowe reguły sieciowej grupy zabezpieczeń i trasy zdefiniowane przez użytkownika domyślnie nie wpływają na łączność. Istnieją jednak określone konfiguracje zarówno w konfiguracji sieci platformy Azure, jak i na hoście sesji lub samym komputerze w chmurze, których należy unikać. Więcej szczegółowych informacji można znaleźć w tym dokumencie .

Inne punkty końcowe

W poniższej tabeli wymieniono opcjonalne nazwy FQDN i punkty końcowe, do których maszyny wirtualne hosta sesji mogą również potrzebować dostępu dla innych usług:

Adres Protocol (Protokół) Port wyjściowy Przeznaczenie Numer seryjny usługi
login.windows.net TCP 443 Logowanie się w witrynie Microsoft Online Services i na platformie Microsoft 365 AzureActiveDirectory
*.events.data.microsoft.com TCP 443 Usługa telemetrii Nie dotyczy
www.msftconnecttest.com TCP 80 Wykrywa, czy host sesji jest połączony z Internetem Nie dotyczy
*.prod.do.dsp.mp.microsoft.com TCP 443 Windows Update Nie dotyczy
*.sfx.ms TCP 443 Aktualizacje oprogramowania klienckiego usługi OneDrive Nie dotyczy
*.digicert.com TCP 80 Sprawdzanie odwołania certyfikatu Nie dotyczy
*.azure-dns.com TCP 443 Rozpoznawanie nazw DNS na platformie Azure Nie dotyczy
*.azure-dns.net TCP 443 Rozpoznawanie nazw DNS na platformie Azure Nie dotyczy
*eh.servicebus.windows.net TCP 443 Ustawienia diagnostyczne EventHub

Porada

Należy użyć symbolu wieloznacznego (*) dla nazw FQDN obejmujących ruch usługi.

Jeśli wolisz nie używać symbolu wieloznacznego w przypadku ruchu agenta, wykonaj następujące czynności, aby znaleźć określone nazwy FQDN, które będą dozwolone:

  1. Upewnij się, że hosty sesji są zarejestrowane w puli hostów.
  2. Na hoście sesji otwórz Podgląd zdarzeń, a następnie przejdź doaplikacji>dzienników> systemu WindowsWVD-Agent i poszukaj zdarzenia o identyfikatorze 3701.
  3. Odblokuj nazwy FQDN znalezione pod identyfikatorem zdarzenia 3701. Nazwy FQDN w obszarze identyfikatora zdarzenia 3701 są specyficzne dla regionu. Ten proces należy powtórzyć z odpowiednimi nazwami FQDN dla każdego regionu platformy Azure, w którym chcesz wdrożyć hosty sesji.

Intune Pomoc zdalna punktów końcowych

Jeśli używasz Intune Pomoc zdalna do zapewniania pomocy zdalnej (obserwowania sesji) w środowisku usługi Azure Virtual Desktop, hosty sesji muszą mieć również możliwość nawiązywania połączenia z wymaganymi przez Pomoc zdalna punktami końcowymi sieci, oprócz Azure punktów końcowych pulpitu wirtualnego wymienionych w tym artykule. Wymagane punkty końcowe pomocy zdalnej są takie same niezależnie od tego, czy obsługujesz pełne sesje pulpitu, czy sesje funkcji RemoteApp. Te punkty końcowe są obsługiwane przez usługę Intune. Aby zapoznać się z listą, zobacz Punkty końcowe sieci pomocy zdalnej.

Urządzenia użytkowników końcowych

Każde urządzenie, na którym używasz jednego z klientów pulpitu zdalnego do łączenia się z usługą Azure Virtual Desktop, musi mieć dostęp do następujących nazw FQDN i punktów końcowych. Zezwolenie na te nazwy FQDN i punkty końcowe jest niezbędne do zapewnienia niezawodnego środowiska klienta. Blokowanie dostępu do tych nazw FQDN i punktów końcowych nie jest obsługiwane i ma wpływ na funkcjonalność usługi.

Wybierz odpowiednią kartę w zależności od używanej chmury.

Adres Protocol (Protokół) Port wyjściowy Przeznaczenie Klient (klienci)
*.service.windows.cloud.microsoft TCP 443 Ruch związany z usługą Wszystkie
*.windows.cloud.microsoft TCP 443 Ruch związany z usługą Wszystkie
*.windows.static.microsoft TCP 443 Ruch związany z usługą Wszystkie
login.microsoftonline.com TCP 443 Uwierzytelnianie w witrynie Microsoft Online Services Wszystkie
51.5.0.0/16 UDP 3478 Łączność przekazywana RDP Wszystkie
*.wvd.microsoft.com TCP 443 Ruch w usłudze Wszystkie
*.servicebus.windows.net TCP 443 Rozwiązywanie problemów z danymi Wszystkie
go.microsoft.com TCP 443 Microsoft FWLinks Wszystkie
aka.ms TCP 443 Narzędzie do skracania adresów URL firmy Microsoft Wszystkie
learn.microsoft.com TCP 443 Dokumentacja Wszystkie
privacy.microsoft.com TCP 443 Oświadczenie o ochronie prywatności Wszystkie
*.cdn.office.net TCP 443 Aktualizacje automatyczne Pulpit Windows
graph.microsoft.com TCP 443 Ruch w usłudze Wszystkie
windows.cloud.microsoft TCP 443 Centrum połączeń Wszystkie
windows365.microsoft.com TCP 443 Ruch w usłudze Wszystkie
ecs.office.com TCP 443 Centrum połączeń Wszystkie
*.events.data.microsoft.com TCP 443 Telemetria klienta Wszystkie
*.microsoftaik.azure.net TCP 80 Certyfikaty Wszystkie
www.microsoft.com TCP 80 Certyfikaty Wszystkie
*.aikcertaia.microsoft.com TCP 80 Certyfikaty Wszystkie
azcsprodeusaikpublish.blob.core.windows.net TCP 80 Certyfikaty Wszystkie

Jeśli pracujesz w sieci zamkniętej z ograniczonym dostępem do Internetu, może być również konieczne zezwolenie na nazwy FQDN wymienione tutaj na potrzeby sprawdzania certyfikatów: Szczegóły urzędu certyfikacji platformy Azure | Microsoft Learn.

Następne kroki

  • Ostatnia aktualizacja o