Zasady dotyczące łączności sieciowej na platformie Microsoft 365

Ten artykuł dotyczy zarówno platformy Microsoft 365 Enterprise, jak i usługi Office 365 Enterprise.

Przed rozpoczęciem planowania sieci pod kątem łączności sieciowej platformy Microsoft 365 ważne jest, aby zrozumieć zasady łączności w celu bezpiecznego zarządzania ruchem platformy Microsoft 365 i uzyskania najlepszej możliwej wydajności. Ten artykuł ułatwia zrozumienie najnowszych wskazówek dotyczących bezpiecznego optymalizowania łączności sieciowej platformy Microsoft 365.

Tradycyjne sieci korporacyjne są zaprojektowane przede wszystkim w celu zapewnienia użytkownikom dostępu do aplikacji i danych hostowanych w centrach danych obsługiwanych przez firmę z silnymi zabezpieczeniami obwodowymi. W tradycyjnym modelu zakłada się, że użytkownicy będą uzyskiwać dostęp do aplikacji i danych z obwodu sieci firmowej, za pośrednictwem łączy WAN z oddziałów firmy lub zdalnie za pośrednictwem połączeń VPN.

Wdrożenie aplikacji SaaS, takich jak Microsoft 365, przenosi pewną kombinację usług i danych poza obwód sieci. Bez optymalizacji ruch między użytkownikami a aplikacjami SaaS podlega opóźnieniom wprowadzanym przez inspekcję pakietów, spinki sieciowe, przypadkowe połączenia z odległymi geograficznie punktami końcowymi i inne czynniki. Aby zapewnić najlepszą wydajność i niezawodność platformy Microsoft 365, możesz poznać i wdrożyć kluczowe wskazówki dotyczące optymalizacji.

W tym artykule omówiono następujące zagadnienia:

• Architektura platformy Microsoft 365 w odniesieniu do łączności klienta z chmurą
• Zaktualizowane zasady i strategie łączności platformy Microsoft 365 pod kątem optymalizowania ruchu sieciowego i środowiska użytkownika końcowego
• Usługa sieci Web punktów końcowych platformy Microsoft 365, która umożliwia administratorom sieci korzystanie ze strukturalnej listy punktów końcowych do użycia podczas optymalizacji sieci
• Wskazówki dotyczące optymalizowania łączności z usługami platformy Microsoft 365
• Porównanie zabezpieczeń obwodowych sieci z zabezpieczeniami punktów końcowych
• Opcje optymalizacji przyrostowej dla ruchu platformy Microsoft 365
• Test łączności platformy Microsoft 365 — narzędzie do testowania podstawowej łączności z platformą Microsoft 365

Architektura platformy Microsoft 365

Microsoft 365 to rozproszona chmura typu oprogramowanie jako usługa (SaaS), która udostępnia scenariusze produktywności i współpracy za pośrednictwem zróżnicowanego zestawu mikrousług i aplikacji. Przykłady obejmują usługi Exchange Online, SharePoint Online, Microsoft Teams, pakiet Office w przeglądarce i wiele innych. Chociaż określone aplikacje platformy Microsoft 365 mogą mieć swoje unikatowe funkcje, ponieważ dotyczą sieci klientów i łączności z chmurą, wszystkie mają pewne kluczowe elementy zabezpieczeń, cele i wzorce architektury. Te zasady i wzorce architektury łączności są typowe dla wielu innych chmur SaaS. Jednocześnie różnią się one od typowych modeli wdrażania chmur typu Platform-as-a-Service i Infrastruktura jako usługa, takich jak Microsoft Azure.

Jedną z najważniejszych cech architektury platformy Microsoft 365 (która jest często pomijana lub błędnie interpretowana przez architektów sieci) jest to, że jest to prawdziwie globalna usługa rozproszona w kontekście sposobu, w jaki użytkownicy łączą się z nią. Lokalizacja docelowej dzierżawy platformy Microsoft 365 jest ważna dla zrozumienia lokalizacji, w której są przechowywane dane klienta w chmurze. Jednak środowisko użytkownika platformy Microsoft 365 nie obejmuje bezpośredniego łączenia się z dyskami zawierającymi dane. Środowisko użytkownika platformy Microsoft 365 (w tym wydajność, niezawodność i inne ważne cechy jakości) obejmuje łączność za pośrednictwem wysoce rozproszonych usług frontowych, które są skalowane w setkach lokalizacji firmy Microsoft na całym świecie. W większości przypadków najlepsze środowisko użytkownika osiąga się, zezwalając sieci klienta na kierowanie żądań użytkowników do najbliższego punktu wejścia usługi Microsoft 365. Takie rozwiązanie jest preferowane zamiast nawiązywania połączenia z platformą Microsoft 365 za pośrednictwem punktu wyjściowego w centralnej lokalizacji lub regionie.

W przypadku większości klientów użytkownicy platformy Microsoft 365 są rozproszeni po wielu lokalizacjach. Aby osiągnąć najlepsze wyniki, zasady przedstawione w niniejszym dokumencie należy rozpatrywać z punktu widzenia skalowania w poziomie (a nie skalowania w górę). Koncentrując się jednocześnie na optymalizacji łączności z najbliższym punktem obecności w globalnej sieci firmy Microsoft, a nie z lokalizacją geograficzną dzierżawy platformy Microsoft 365. W istocie oznacza to, że nawet jeśli dane dzierżawy platformy Microsoft 365 mogą być przechowywane w określonej lokalizacji geograficznej, środowisko platformy Microsoft 365 dla tej dzierżawy pozostaje rozproszone. Może on znajdować się w bardzo bliskiej (sieciowej) odległości od każdej lokalizacji użytkownika końcowego dzierżawcy.

Zasady łączności platformy Microsoft 365

Firma Microsoft zaleca następujące zasady, aby osiągnąć optymalną łączność i wydajność platformy Microsoft 365. Użyj tych zasad łączności platformy Microsoft 365, aby zarządzać ruchem i uzyskać najlepszą wydajność podczas nawiązywania połączenia z platformą Microsoft 365.

Podstawowym celem podczas projektowania sieci powinno być zminimalizowanie opóźnień przez skrócenie czasu rundy (RTT) z Twojej sieci do globalnej sieci firmy Microsoft, publicznej sieci szkieletowej firmy Microsoft, która łączy wszystkie centra danych firmy Microsoft z małymi opóźnieniami i punktami wejścia aplikacji w chmurze rozmieszczonymi na całym świecie. Więcej informacji na temat globalnej sieci firmy Microsoft znajdziesz w artykule Jak firma Microsoft buduje swoją szybką i niezawodną sieć globalną.

Identyfikowanie i różnicowanie ruchu platformy Microsoft 365

Identyfikowanie ruchu sieciowego platformy Microsoft 365 jest pierwszym krokiem, aby móc odróżnić ten ruch od ogólnego ruchu sieciowego związanego z Internetem. Łączność platformy Microsoft 365 można zoptymalizować, implementując kombinację podejść, takich jak optymalizacja tras sieciowych, reguły zapory, ustawienia serwera proxy przeglądarki. Ponadto korzystne jest również ominięcie urządzeń do inspekcji sieci dla niektórych punktów końcowych.

Aby uzyskać więcej informacji na temat metod optymalizacji platformy Microsoft 365, zobacz sekcję dotyczącą optymalizowania łączności z usługami platformy Microsoft 365 .

Firma Microsoft publikuje wszystkie punkty końcowe platformy Microsoft 365 jako usługę internetową i udostępnia wskazówki dotyczące najlepszego sposobu używania tych danych. Aby uzyskać więcej informacji na temat uzyskiwania zdalnego dostępu i pracy z punktami końcowymi platformy Microsoft 365, zobacz artykuł Adresy URL i zakresy adresów IP platformy Microsoft 365.

Lokalne wyprowadzanie połączeń sieciowych

Lokalny system DNS i internetowy ruch wychodzący mają kluczowe znaczenie dla zmniejszenia opóźnień połączeń i zapewnienia, że połączenia użytkowników są nawiązywane do najbliższego punktu wejścia do usług platformy Microsoft 365. W złożonej topologii sieci ważne jest, aby zaimplementować jednocześnie lokalny system DNS i lokalny internetowy ruch wychodzący.

Przed pojawieniem się usług w chmurze, takich jak Microsoft 365, łączność internetowa użytkownika końcowego jako czynnik projektowy w architekturze sieci była stosunkowo prosta. Gdy usługi internetowe i witryny internetowe są rozproszone po całym świecie, opóźnienie między firmowymi punktami wyjściowymi a dowolnym wybranym docelowym punktem końcowym jest w dużej mierze funkcją odległości geograficznej.

W tradycyjnej architekturze sieciowej wszystkie wychodzące połączenia internetowe przechodzą przez sieć firmową i wychodzą z lokalizacji centralnej. Wraz z rozwojem oferty chmurowej firmy Microsoft architektura sieci rozproszonej z dostępem do Internetu stała się kluczowa dla obsługi usług w chmurze wrażliwych na opóźnienia. Globalna sieć firmy Microsoft została zaprojektowana w celu spełnienia wymagań dotyczących opóźnień za pomocą infrastruktury usługi rozproszonej usługi Front Door, dynamicznej struktury globalnych punktów wejścia, które kierują przychodzące połączenia usług w chmurze do najbliższego punktu wejścia. Ma to na celu skrócenie długości "ostatniej mili" w przypadku klientów korzystających z chmury firmy Microsoft przez efektywne skrócenie drogi między klientem a chmurą.

Sieci WAN klasy korporacyjnej są często zaprojektowane tak, aby generować ruch sieciowy do centrali firmy w celu kontroli przed wyjściem do Internetu, zwykle za pośrednictwem jednego lub kilku serwerów proxy. Na poniższym diagramie przedstawiono taką topologię sieci.

Ponieważ platforma Microsoft 365 działa w globalnej sieci firmy Microsoft, która obejmuje serwery frontonu na całym świecie, często w pobliżu lokalizacji użytkownika znajduje się serwer frontonu. Zapewniając lokalny internetowy ruch wychodzący i konfigurując wewnętrzne serwery DNS w celu zapewnienia lokalnego rozpoznawania nazw dla punktów końcowych platformy Microsoft 365, ruch sieciowy przeznaczony dla platformy Microsoft 365 może łączyć się z serwerami frontonu platformy Microsoft 365 tak blisko użytkownika, jak to możliwe. Na poniższym diagramie przedstawiono przykładową topologię sieci, która umożliwia użytkownikom łączącym się z biura głównego, oddziału i lokalizacji zdalnych najkrótszą drogę do najbliższego punktu wejścia platformy Microsoft 365.

Skrócenie ścieżki sieciowej do punktów wejścia platformy Microsoft 365 w ten sposób może poprawić wydajność łączności i środowisko użytkownika końcowego na platformie Microsoft 365. Może to również pomóc w zmniejszeniu wpływu przyszłych zmian architektury sieci na wydajność i niezawodność platformy Microsoft 365.

Ponadto żądania DNS mogą wprowadzać opóźnienie, jeśli odpowiadający serwer DNS znajduje się daleko lub jest zajęty. Opóźnienie związane z rozpoznawaniem nazw można zminimalizować przez zainicjowanie obsługi lokalnych serwerów DNS w lokalizacjach oddziałów i upewnienie się, że są one skonfigurowane do buforowania rekordów DNS.

Podczas gdy regionalny ruch wychodzący może dobrze działać w przypadku platformy Microsoft 365, optymalnym modelem łączności byłoby zawsze zapewnianie ruchu wychodzącego sieci w lokalizacji użytkownika, niezależnie od tego, czy znajduje się on w sieci firmowej, czy w lokalizacjach zdalnych, takich jak domy, hotele, kawiarnie i lotniska. Ten model bezpośredniego lokalnego punktu wyjściowego przedstawiono na poniższym diagramie.

Przedsiębiorstwa, które wdrożyły platformę Microsoft 365, mogą korzystać z architektury usługi Front Door w ramach rozproszonej sieci Microsoft Global Network, zapewniając, że połączenia użytkowników z platformą Microsoft 365 odbywają się najkrótszą możliwą trasą do najbliższego punktu wejścia do globalnej sieci firmy Microsoft. Architektura lokalnej sieci wyjściowej robi to, umożliwiając kierowanie ruchu platformy Microsoft 365 przez najbliższy punkt wyjściowy, niezależnie od lokalizacji użytkownika.

Architektura lokalnego ruchu wychodzącego ma następujące zalety w porównaniu z tradycyjnym modelem:

• Zapewnia optymalną wydajność platformy Microsoft 365 dzięki optymalizacji długości trasy. połączenia użytkowników końcowych są dynamicznie kierowane do najbliższego punktu wejścia platformy Microsoft 365 przez infrastrukturę usługi rozproszonej Front Door.
• Zmniejsza obciążenie infrastruktury sieci firmowej, umożliwiając lokalny ruch wychodzący.
• Zabezpiecza połączenia po obu stronach za pomocą zabezpieczeń punktów końcowych klienta i funkcji zabezpieczeń chmury.

Unikaj spinek do włosów w sieci

Zgodnie z ogólną zasadą najkrótsza i najbardziej bezpośrednia trasa między użytkownikiem a najbliższym punktem końcowym platformy Microsoft 365 oferuje najlepszą wydajność. Popinka w sieci ma miejsce, gdy ruch w sieci WAN lub VPN zmierzający do określonego miejsca docelowego jest najpierw kierowany do innej lokalizacji pośredniej (takiej jak stos zabezpieczeń, broker dostępu w chmurze lub brama internetowa oparta na chmurze), co powoduje opóźnienie i potencjalne przekierowanie do odległego geograficznie punktu końcowego. Spinki do włosów w sieci są również spowodowane nieefektywnością routingu/komunikacji równorzędnej lub nieoptymalnymi (zdalnymi) wyszukiwaniami DNS.

Aby upewnić się, że łączność platformy Microsoft 365 nie podlega spinkom do włosów w sieci nawet w przypadku lokalnego ruchu wychodzącego, sprawdź, czy usługodawca internetowy używany do zapewniania internetowego ruchu wychodzącego dla lokalizacji użytkownika ma bezpośrednią relację komunikacji równorzędnej z globalną siecią firmy Microsoft znajdującą się w pobliżu tej lokalizacji. Możesz również skonfigurować routing ruchu wychodzącego, aby bezpośrednio wysyłać zaufany ruch platformy Microsoft 365. Jest to przeciwieństwo proxy lub tunelowania za pośrednictwem chmurowego lub chmurowego dostawcy zabezpieczeń sieciowych, który przetwarza ruch internetowy. Rozpoznawanie lokalnych nazw DNS punktów końcowych platformy Microsoft 365 pomaga zapewnić, że oprócz routingu bezpośredniego do połączeń użytkowników są używane najbliższe punkty wejścia platformy Microsoft 365.

Jeśli używasz usług sieci lub zabezpieczeń opartych na chmurze dla ruchu platformy Microsoft 365, upewnij się, że wynik spinki do włosów jest oceniany i że jego wpływ na wydajność platformy Microsoft 365 jest zrozumiały. Można to zrobić, badając liczbę i lokalizacje lokalizacji dostawcy usług, przez które jest przekazywany ruch, względem liczby oddziałów firmy i punktów komunikacji równorzędnej w globalnej sieci firmy Microsoft, jakości relacji komunikacji równorzędnej między dostawcą usług a Twoim usługodawcą internetowym i firmą Microsoft oraz wpływu dosyłowania w infrastrukturę dostawcy usług na wydajność.

Ze względu na dużą liczbę rozproszonych lokalizacji z punktami wejścia platformy Microsoft 365 i ich bliskość do użytkowników końcowych routing ruchu platformy Microsoft 365 do dowolnej sieci innej firmy lub dostawcy zabezpieczeń może mieć niekorzystny wpływ na połączenia platformy Microsoft 365, jeśli sieć dostawcy nie jest skonfigurowana do optymalnej komunikacji równorzędnej platformy Microsoft 365.

Ocenianie omijających serwerów proxy, urządzeń do kontroli ruchu i zduplikowanych technologii zabezpieczeń

Klienci korporacyjni powinni dokonać przeglądu zabezpieczeń sieci i metod redukcji ryzyka w szczególności dla ruchu powiązanego platformy Microsoft 365 i korzystać z funkcji zabezpieczeń platformy Microsoft 365, aby zmniejszyć zależność od natrętnych, wpływających na wydajność i kosztownych technologii zabezpieczeń sieci dla ruchu sieciowego platformy Microsoft 365.

W większości sieci korporacyjnych bezpieczeństwo ruchu internetowego jest wymuszane przy użyciu technologii takich jak serwery proxy, inspekcja TLS, inspekcja pakietów i systemy ochrony przed utratą danych. Te technologie zapewniają ważne ograniczenie ryzyka dla ogólnych żądań internetowych, ale mogą znacznie zmniejszyć wydajność, skalowalność i jakość środowiska użytkownika końcowego w przypadku zastosowania do punktów końcowych platformy Microsoft 365.

Usługa internetowa punktów końcowych platformy Microsoft 365

Administratorzy platformy Microsoft 365 mogą używać skryptu lub wywołania REST do korzystania ze strukturalnej listy punktów końcowych z usługi internetowej punktów końcowych platformy Microsoft 365 i aktualizować konfiguracje zapór obwodowych i innych urządzeń sieciowych. Gwarantuje to, że ruch kierowany do platformy Microsoft 365 jest identyfikowany, odpowiednio traktowany i zarządzany inaczej niż ruch sieciowy kierowany do ogólnych i często nieznanych witryn internetowych. Aby uzyskać więcej informacji na temat korzystania z usługi internetowej punktów końcowych platformy Microsoft 365, zobacz artykuł Adresy URL i zakresy adresów IP platformy Microsoft 365.

Skrypty PAC (Proxy Automatic Configuration)

Administratorzy platformy Microsoft 365 mogą tworzyć skrypty PAC (automatyczna konfiguracja serwera proxy), które mogą być dostarczane do komputerów użytkowników za pośrednictwem funkcji WPAD lub GPO. Skrypty PAC mogą być używane do pomijania serwerów proxy dla żądań platformy Microsoft 365 od użytkowników sieci WAN lub VPN, dzięki czemu ruch platformy Microsoft 365 może korzystać z bezpośrednich połączeń internetowych zamiast przechodzić przez sieć firmową.

Aby uzyskać więcej informacji na temat używania plików PAC do optymalizowania łączności sieciowej na urządzeniach klienckich, zobacz Zarządzanie punktami końcowymi platformy Microsoft 365.

Funkcje zabezpieczeń platformy Microsoft 365

Firma Microsoft w przejrzysty sposób informuje o zabezpieczeniach centrów danych, zabezpieczeniach operacyjnych i redukcji ryzyka wokół serwerów platformy Microsoft 365 oraz punktów końcowych sieci, które reprezentują. Dostępne są wbudowane funkcje zabezpieczeń platformy Microsoft 365, takie jak ochrona przed utratą danych w Microsoft Purview, oprogramowanie antywirusowe, uwierzytelnianie wieloskładnikowe, skrytka klienta, usługa Defender dla usługi Office 365, analiza zagrożeń platformy Microsoft 365, wskaźnik bezpieczeństwa platformy Microsoft 365, wbudowane funkcje zabezpieczeń dla wszystkich chmur skrzynki pocztowe i bezpieczeństwo DDOS w sieci.

Aby uzyskać więcej informacji na temat zabezpieczeń centrów danych firmy Microsoft i globalnej sieci, zobacz Centrum zaufania firmy Microsoft.

Optymalizowanie łączności z usługami platformy Microsoft 365

Usługi platformy Microsoft 365 to zbiór dynamicznych, współzależnych i głęboko zintegrowanych produktów, aplikacji i usług. Podczas konfigurowania i optymalizowania łączności z usługami platformy Microsoft 365 nie można połączyć określonych punktów końcowych (domen) z kilkoma scenariuszami platformy Microsoft 365 w celu zaimplementowania listy dozwolonych na poziomie sieci. Firma Microsoft nie obsługuje selektywnego umieszczania na liście dozwolonych, ponieważ powoduje to zdarzenia związane z łącznością i usługami u użytkowników. W związku z tym administratorzy sieci powinni zawsze stosować wytyczne platformy Microsoft 365 dotyczące listy dozwolonych sieci i typowych optymalizacji sieci do pełnego zestawu wymaganych punktów końcowych sieci (domen), które są regularnie publikowane i aktualizowane. Upraszczamy punkty końcowe sieci platformy Microsoft 365 w odpowiedzi na opinie klientów, ale administratorzy sieci powinni być świadomi następujących podstawowych wzorców w istniejącym obecnie zestawie punktów końcowych:

• Tam, gdzie jest to możliwe, publikowane punkty końcowe domeny będą zawierać symbole wieloznaczne w celu znacznego zmniejszenia nakładu pracy klientów związanego z konfiguracją sieci.
  • Na platformie Microsoft 365 ogłoszono inicjatywę konsolidacji domen (cloud.microsoft), zapewniającą klientom sposób na uproszczenie konfiguracji sieci i automatyczne naliczanie optymalizacji sieci dla tej domeny dla wielu obecnych i przyszłych usług platformy Microsoft 365.
  • Wyłączne korzystanie z domeny głównej cloud.microsoft na potrzeby izolacji zabezpieczeń i określonych funkcji. Dzięki temu zespoły ds. sieci i zabezpieczeń klienta mogą ufać domenom platformy Microsoft 365, jednocześnie ulepszając łączność z tymi punktami końcowymi i unikając niepotrzebnego przetwarzania zabezpieczeń sieci.
  • Niektóre definicje punktów końcowych określają unikatowe prefiksy IP odpowiadające ich domenom. Ta funkcja obsługuje klientów ze skomplikowanymi strukturami sieciowymi, umożliwiając im stosowanie precyzyjnych optymalizacji sieci z wykorzystaniem szczegółów prefiksów IP.

Następujące konfiguracje sieci są zalecane dla wszystkich wymaganych punktów końcowych sieci (domen) i kategorii platformy Microsoft 365:

• Jawne zezwalanie na punkty końcowe sieci platformy Microsoft 365 w urządzeniach sieciowych i usługach, przez które przechodzą połączenia użytkowników (np. urządzenia zabezpieczeń obwodowych sieci, takie jak serwery proxy, zapory, system DNS, rozwiązania zabezpieczeń sieci oparte na chmurze itp.)
  • Omiń domeny platformy Microsoft 365 przed odszyfrowywaniem TLS, przechwytywaniem ruchu, głęboką inspekcją pakietów oraz filtrowaniem pakietów sieciowych i zawartości. Należy pamiętać, że wiele wyników, do których klienci używają tych technologii sieciowych w kontekście niezaufanych/niezarządzanych aplikacji, można osiągnąć dzięki natywnym funkcjom zabezpieczeń platformy Microsoft 365.
  • Bezpośredni dostęp do Internetu powinien być traktowany priorytetowo dla domen platformy Microsoft 365 w celu zmniejszenia zależności od dosyłu bezpośredniego sieci rozległej (WAN), uniknięcia spinek do włosów w sieci i umożliwienia bardziej wydajnego ruchu wychodzącego Internetu lokalnego dla użytkowników i bezpośrednio do sieci firmy Microsoft.
  • Upewnij się, że rozpoznawanie nazw DNS odbywa się w pobliżu wyjścia sieci, aby upewnić się, że połączenia są obsługiwane przez najbardziej optymalne wejście do platformy Microsoft 365.
  • Nadaj priorytet połączeniom platformy Microsoft 365 wzdłuż ścieżki sieci, zapewniając pojemność i jakość usług dla środowisk platformy Microsoft 365.
  • Pomijanie urządzeń pośredniczących w ruchu, takich jak serwery proxy i usługi VPN.

Wskazówki dotyczące łączności platformy Microsoft 365 zostały zaprojektowane z myślą o identyfikacji punktów końcowych na podstawie domeny. Firma Microsoft zaleca używanie opublikowanych danych punktu końcowego domeny dostępnych za pośrednictwem https://aka.ms/m365endpoints jako podstawowego źródła konfiguracji sieci platformy Microsoft 365, listy dozwolonych i optymalizacji łączności.

Niektórzy klienci ze złożonymi topologiami sieci mogą również używać opublikowanych danych prefiksów IP, jeśli są dostępne, do obsługi określonych optymalizacji sieci, takich jak routing niestandardowy, sieci VPN z dzielonym tunelowaniem i obejście serwera proxy. Chociaż firma Microsoft publikuje prefiksy IP dla niektórych usług Microsoft 365, wiele punktów końcowych usług w chmurze ma charakter dynamiczny, a skojarzone z nimi adresy IP mogą z czasem ulec zmianie. W przypadku tych punktów końcowych publikowane są tylko dane punktów końcowych opartych na domenie i nie są udostępniane żadne odpowiednie informacje o adresach IP.

Dodatkowe zagadnienia dotyczące sieci

Podczas optymalizowania łączności z platformą Microsoft 365 niektóre konfiguracje sieci mogą mieć negatywny wpływ na dostępność, współdziałanie, wydajność i środowisko użytkownika platformy Microsoft 365. Firma Microsoft nie przetestowała następujących scenariuszy sieciowych z naszymi usługami i wiadomo, że powodują one problemy z łącznością.

• Zakończenie TLS lub głęboka inspekcja pakietów w domenach platformy Microsoft 365 z serwerami proxy klientów lub innymi typami urządzeń sieciowych bądź usług.
• Blokowanie określonych protokołów lub wersji protokołów, takich jak QUIC, WebSocket itp. przez pośredniczącą infrastrukturę sieciową lub usługę.
• Wymuszanie obniżenia lub trybu failover protokołów (takich jak UDP —> TCP, TLS1.3 —> TLS1.2 —> TLS1.1) używanych między aplikacjami klienckimi a usługami Microsoft 365.
• Routing połączeń za pośrednictwem infrastruktury sieciowej przy zastosowaniu własnego uwierzytelniania, takiego jak uwierzytelnianie serwera proxy.

Zalecamy, aby klienci unikali używania tych technik sieciowych do ruchu kierowanego do domen platformy Microsoft 365 i omijali je w przypadku połączeń z platformą Microsoft 365.

Firma Microsoft zaleca skonfigurowanie automatycznego systemu w celu regularnego pobierania i stosowania listy punktów końcowych sieci platformy Microsoft 365. Aby uzyskać więcej informacji, zobacz Zarządzanie zmianami dotyczącymi adresów IP i adresów URL platformy Microsoft 365 .

Porównanie zabezpieczeń obwodowych sieci z zabezpieczeniami punktów końcowych

Celem tradycyjnych zabezpieczeń sieci jest wzmocnienie zabezpieczeń obwodu sieci firmowej przed włamaniami i złośliwymi programami wykorzystującymi luki w zabezpieczeniach. Gdy organizacje wdrażają platformę Microsoft 365, niektóre usługi sieciowe i dane są częściowo lub całkowicie migrowane do chmury. Podobnie jak w przypadku każdej fundamentalnej zmiany w architekturze sieci, proces ten wymaga ponownej oceny bezpieczeństwa sieci, z uwzględnieniem pojawiających się czynników:

• Wraz z wdrażaniem usług w chmurze usługi sieciowe i dane są rozproszone między lokalnymi centrami danych a chmurą, a same zabezpieczenia obwodowe przestają być odpowiednie.
• Użytkownicy zdalni łączą się z zasobami firmowymi zarówno w lokalnych centrach danych, jak i w chmurze, z niekontrolowanych lokalizacji, takich jak domy, hotele i kawiarnie.
• Specjalnie zaprojektowane funkcje zabezpieczeń są coraz częściej wbudowane w usługi w chmurze i mogą potencjalnie uzupełniać lub zastępować istniejące systemy zabezpieczeń.

Firma Microsoft oferuje szeroką gamę funkcji zabezpieczeń platformy Microsoft 365 i udostępnia normatywne wskazówki dotyczące stosowania najlepszych rozwiązań w zakresie zabezpieczeń, które mogą pomóc w zapewnieniu bezpieczeństwa danych i sieci dla platformy Microsoft 365. Zalecane najlepsze rozwiązania obejmują:

• Korzystanie z uwierzytelniania wieloskładnikowego (MFA) Uwierzytelnianie wieloskładnikowe dodaje dodatkową warstwę ochrony do strategii silnego hasła, wymagając od użytkowników potwierdzenia rozmowy telefonicznej, wiadomości SMS lub powiadomienia aplikacji na smartfonie po poprawnym wprowadzeniu hasła.

• Korzystanie z usługi Microsoft Defender for Cloud Apps Konfigurowanie zasad śledzenia nietypowych działań i podejmowanie działań na ich podstawie. Konfigurowanie alertów za pomocą usługi Microsoft Defender for Cloud Apps, aby administratorzy mogli przeglądać nietypowe lub ryzykowne działania użytkowników, takie jak pobieranie dużych ilości danych, wiele nieudanych prób logowania lub połączenia z nieznanych lub niebezpiecznych adresów IP.

• Konfigurowanie ochrony przed utratą danych (DLP) Ochrona przed utratą danych umożliwia identyfikowanie danych poufnych i tworzenie zasad zapobiegających przypadkowemu lub celowemu udostępnianiu danych przez użytkowników. Ochrona przed utratą danych działa na platformie Microsoft 365, w tym w usługach Exchange Online, SharePoint Online i OneDrive, dzięki czemu użytkownicy mogą zachować zgodność bez przerywania przepływu pracy.

• Korzystanie ze skrytki klienta Jako administrator platformy Microsoft 365 możesz korzystać ze Skrytki klienta, aby kontrolować, w jaki sposób inżynier pomocy technicznej firmy Microsoft uzyskuje dostęp do Twoich danych podczas sesji pomocy. W przypadkach, w których inżynier wymaga dostępu do Twoich danych w celu rozwiązania problemu, Skrytka klienta umożliwia zatwierdzenie lub odrzucenie żądania dostępu.

• Korzystanie z wskaźnika bezpieczeństwa

Narzędzie do analizy zabezpieczeń, które zaleca, co możesz zrobić, aby jeszcze bardziej ograniczyć ryzyko. Wskaźnik bezpieczeństwa analizuje ustawienia i działania platformy Microsoft 365 i porównuje je z punktem odniesienia ustalonym przez firmę Microsoft. Otrzymujesz wynik na podstawie tego, jak dobrze radzisz sobie z najlepszymi rozwiązaniami w zakresie zabezpieczeń.

Holistyczne podejście do zwiększenia bezpieczeństwa powinno obejmować uwzględnienie następujących kwestii:

• Przenieś nacisk z zabezpieczeń obwodowych na zabezpieczenia punktów końcowych, stosując funkcje zabezpieczeń oparte na chmurze i klienta pakietu Office.
  • Zmniejszanie obwodu zabezpieczeń do centrum danych
  • Włączanie równoważnego zaufania dla urządzeń użytkowników w biurze lub w lokalizacjach zdalnych
  • Skup się na zabezpieczeniu lokalizacji danych i lokalizacji użytkownika
  • Zarządzane komputery użytkowników cieszą się wyższym zaufaniem dzięki zabezpieczeniom punktów końcowych
• Zarządzaj całym bezpieczeństwem informacji holistycznie, nie koncentrując się wyłącznie na obwodzie
  • Zdefiniuj na nowo sieć WAN i tworzenie zabezpieczeń sieci obwodowej, zezwalając zaufanemu ruchowi na omijanie urządzeń zabezpieczeń i oddzielając niezarządzane urządzenia do sieci Wi-Fi gości
  • Zmniejsz wymagania dotyczące zabezpieczeń sieci na brzegu sieci firmowej WAN
  • Niektóre urządzenia zabezpieczeń obwodowych sieci, takie jak zapory, są nadal wymagane, ale obciążenie jest zmniejszone
  • Zapewnia lokalny ruch wychodzący dla ruchu platformy Microsoft 365
• Ulepszenia można wprowadzać stopniowo, zgodnie z opisem w sekcji Optymalizacja przyrostowa . Niektóre techniki optymalizacji mogą oferować lepszy stosunek kosztów do korzyści w zależności od architektury sieci i należy wybierać optymalizacje, które mają największy sens dla Twojej organizacji.

Aby uzyskać więcej informacji na temat zabezpieczeń i zgodności platformy Microsoft 365, zobacz artykuły Zabezpieczenia platformy Microsoft 365 i Microsoft Purview.

Optymalizacja przyrostowa

Wcześniej w tym artykule przedstawiliśmy idealny model łączności sieciowej dla SaaS, ale w przypadku wielu dużych organizacji z historycznie złożonymi architekturami sieciowymi bezpośrednie wprowadzenie wszystkich tych zmian nie jest praktyczne. W tej sekcji omówimy wiele zmian przyrostowych, które mogą pomóc w zwiększeniu wydajności i niezawodności platformy Microsoft 365.

Metody, których użyjesz do zoptymalizowania ruchu platformy Microsoft 365, różnią się w zależności od topologii sieci i zaimplementowanych urządzeń sieciowych. Duże przedsiębiorstwa z wieloma lokalizacjami i złożonymi rozwiązaniami zabezpieczeń sieci muszą opracować strategię, która obejmuje większość lub wszystkie zasady wymienione w sekcji zasad łączności platformy Microsoft 365 , podczas gdy mniejsze organizacje mogą potrzebować tylko jednej lub dwóch.

Do optymalizacji można podejść jako do procesu przyrostowego, stosując każdą metodę po kolei. W poniższej tabeli wymieniono kluczowe metody optymalizacji uporządkowane pod kątem ich wpływu na opóźnienie i niezawodność w przypadku jak największej liczby użytkowników.

Zawartość pokrewna

• Omówienie łączności sieciowej platformy Microsoft 365
• Zarządzanie punktami końcowymi platformy Microsoft 365
• Adresy URL i zakresy adresów IP platformy Microsoft 365
• Adres IP i URL usługi sieci Web platformy Microsoft 365
• Ocena łączności sieciowej na platformie Microsoft 365
• Planowanie sieci i dostosowywanie wydajności dla platformy Microsoft 365
• Dostosowywanie wydajności platformy Microsoft 365 przy użyciu planów bazowych i historii wydajności
• Plan rozwiązywania problemów z wydajnością platformy Microsoft 365
• sieci dostarczania zawartości
• Test łączności platformy Microsoft 365
• Jak firma Microsoft buduje swoją szybką i niezawodną globalną sieć
• Blog dotyczący sieci platformy Microsoft 365