IPs de comunicação do Azure Fabric

Os hosts de sessão da AVD (Área de Trabalho Virtual do Azure) e os PCs na Nuvem do Windows 365 exigem conectividade com dois endereços IP da plataforma do Azure. Esses endereços fornecem acesso aos principais serviços de infraestrutura que dão suporte ao provisionamento, monitoramento de integridade, identidade e comunicação de plataforma.

O tráfego para esses endereços opera no nível da malha da plataforma do Azure. Ele se comporta de forma diferente do tráfego para pontos de extremidade baseados em FQDN e deve ser tratado adequadamente.

Este artigo explica o que são esses endereços IP, por que eles são essenciais, como eles diferem de outros pontos de extremidade e como garantir que a conectividade seja bem-sucedida.

Visão Geral

Os hosts de sessão da Área de Trabalho Virtual do Azure e os PCs na Nuvem do Windows 365 exigem conectividade com os seguintes endereços IP:

Serviço de Metadados de Instância do Azure (169.254.169.254)

O Serviço de Metadados de Instância do Azure (IMDS) é um ponto de extremidade da API REST que fornece informações sobre uma máquina virtual em execução. O software dentro da Máquina Virtual (VM) usa o IMDS para se integrar ao ambiente do Azure.

VMs usam o IMDS para recuperar:

• Dados de identidade e configuração da VM

• Tokens de identidade gerenciada para autenticação nos serviços do Azure

• Eventos agendados e notificações de manutenção

• Metadados como região, zona de disponibilidade, tamanho da VM e configuração de rede

O endereço 169.254.169.254 é um endereço IP de link local. Ele não é roteável e só pode ser acessado de dentro da VM. As solicitações para esse endereço nunca saem do host físico. O hipervisor do Azure intercepta e responde ao tráfego localmente.

O IMDS opera no nível do hipervisor. Ele não é afetado por grupos de segurança de rede, rotas definidas pelo usuário ou regras do Firewall do Azure. No entanto, a configuração do sistema operacional dentro da VM, como firewalls de host ou clientes VPN, pode bloquear o acesso.

Monitoramento de integridade da plataforma do Azure (168.63.129.16)

O endereço 168.63.129.16 é um endereço IP público virtual usado pelos serviços da plataforma do Azure para se comunicar com VMs. Esse endereço também é chamado de ponto de extremidade WireServer.

As VMs usam este endereço para:

• Monitoramento de integridade e comunicação de pulsação do agente de VM do Azure

• Resolução de DNS ao usar o DNS fornecido pelo Azure. (A porta 53 (UDP/TCP) só é necessária se estiver usando o DNS fornecido pelo Azure. Se um servidor DNS personalizado for usado para a VNet, essa porta não será necessária.

• Comunicação DHCP para atribuição e renovação de endereço IP

O tráfego para 168.63.129.16 atravessa a malha de rede virtual do Azure. O roteamento da plataforma do Azure aplica tratamento especial para garantir que o endereço permaneça acessível em redes com configurações restritivas de segurança ou roteamento.

Diferenças em relação aos pontos de extremidade padrão

A Área de Trabalho Virtual do Azure e o Windows 365 também exigem conectividade com pontos de extremidade baseados em FQDN, como serviços do painel de controle, Microsoft Entra ID etc. O tráfego para esses pontos de extremidade se comporta como o tráfego padrão da Internet para endereços IP públicos. Parte desse tráfego, como o RDP, requer otimização nas redes dos clientes, mas geralmente pode ser tratado como pontos de extremidade públicos normais.

O tráfego para 169.254.169.254 e 168.63.129.16, no entanto, se comporta de maneira diferente.

• Azure interno e não roteável. Esses endereços fazem parte da infraestrutura interna da plataforma do Azure. Eles não são pontos de extremidade da Internet, não são resolve por meio de DNS público e não podem ser acessados de fora do Azure ou de redes locais.

• Eles não podem ser enviados por proxy, pois os servidores proxy não conseguem acessar esses endereços. As tentativas de enviar esse tráfego por meio de um proxy não serão bem-sucedidas, seja por meio de arquivos PAC, Política de Grupo ou configurações de proxy de aplicativo.

• Eles não podem atravessar túneis VPN ou gateways seguros da web. Os clientes VPN e os agentes de gateway seguro da web que operam no modo de túnel completo ou túnel forçado capturam todo o tráfego da VM. Quando eles capturam o tráfego para esses endereços, a conectividade falha porque os endereços não são acessíveis por meio de túneis VPN ou infraestrutura de segurança de terceiros.

• Parcialmente protegido pelo roteamento de plataforma do Azure. A rede do Azure inclui proteções para garantir a conectividade com esses endereços na camada de malha. Rotas padrão, como 0.0.0.0/0 e a maioria das regras de grupo de segurança de rede, não bloqueiam esse tráfego. No entanto, essas proteções não se aplicam à configuração dentro da VM ou a regras de rede explícitas direcionadas a esses endereços ou suas marcas de serviço.

Portanto, é essencial garantir que os seguintes problemas de configuração não estejam presentes em seu ambiente:

Problemas de configuração na VM

A maioria dos problemas de conectividade se deve à configuração dentro da VM, e não pela configuração da camada de rede do Azure.

Clientes VPN e agentes de gateway seguro da Web

As organizações implantam clientes VPN ou agentes de gateway seguro da Web em PCs na nuvem e hosts de sessão para impor políticas de segurança. Os exemplos incluem Zscaler Internet Access, Acesso à Internet do Microsoft Entra, PaloAlto Global Protect etc.

Quando esses agentes são executados no modo de túnel forçado, eles redirecionam todo o tráfego por meio de um adaptador virtual. Essa configuração pode incluir tráfego para endereços de plataforma do Azure, o que interrompe a conectividade.

O que marcar:

• Use o túnel dividido para que o tráfego da plataforma do Azure permaneça local

• Configurar regras explícitas de desvio ou exclusão para 169.254.169.254 e 168.63.129.16

Configuração de proxy e PAC

As configurações de proxy aplicadas por meio de arquivos PAC, Política de Grupo, WinHTTP, WinINET ou configurações específicas do aplicativo podem fazer com que a VM faça proxy do tráfego da plataforma do Azure.

O que marcar:

• Os arquivos PAC retornam uma conexão direta para esses endereços

• As listas de bypass de proxy incluem endereços

• As configurações de proxy no nível do usuário e no nível do computador são revisadas

Regras de firewall do host

Firewalls baseados em host ou software de proteção de ponto de extremidade podem bloquear o tráfego TCP de saída.

O que marcar:

• Permitir tráfego TCP de saída para 169.254.169.254 na porta 80

• Permitir tráfego TCP de saída para 168.63.129.16 nas portas 80 e 32526

Segurança de ponto de extremidade e software de filtragem de rede

Ferramentas antivírus, EDR (Detecções & Resposta de Ponto de Extremidade) ou DLP (Prevenção contra Perda de Dados) podem incluir recursos de inspeção de rede.

O que marcar:

• Verifique se essas ferramentas não bloqueiam ou inspecionam o tráfego para esses endereços

• Adicione regras de permissão ou exclusão baseadas em IP quando necessário

Problemas de configuração da camada de rede do Azure

Grupos de segurança de rede

O Azure define marcas de serviço para estes pontos de extremidade:

• AzurePlatformIMDS para 169.254.169.254

• AzurePlatformDNS para 168.63.129.16

Regras de negação explícitas direcionadas a essas marcas de serviço podem interferir na conectividade.

O que marcar:

• Remover regras de negação direcionadas a essas marcas de serviço ou endereços

• Certifique-se de que as regras restritivas de saída negam tudo incluindo regras de permissão explícitas para essas marcas de serviço

Rotas definidas pelo usuário e soluções de virtualização de rede

O roteamento da plataforma do Azure normalmente garante a acessibilidade, independentemente das rotas padrão. No entanto, rotas explícitas ou topologias de roteamento complexas podem causar problemas.

O que marcar:

• Nenhuma rota visa explicitamente 169.254.169.254 ou 168.63.129.16

• Firewalls ou dispositivos virtuais de rede no caminho permitem tráfego de saída para esses endereços e portas

Verificações de integridade da Conexão de Rede do Azure

O Windows 365 Enterprise usa conexões de rede do Azure para provisionar PCs na nuvem. Cada conexão inclui verificações de integridade automatizadas que validam a conectividade de rede.

Quais verificações de integridade validam

• Conectividade de malha de rede para pontos de extremidade da plataforma do Azure

• Configuração de grupo de segurança de rede

• Configuração da tabela de rotas

• Resolução de DNS usando o DNS fornecido pelo Azure

Quais verificações de integridade não validam

• Clientes VPN ou agentes de gateway seguro da Web instalados após o provisionamento

• Configuração de proxy ou PAC aplicada por meio da Política de Grupo ou do Intune

• Regras de firewall de host ou software de segurança de ponto de extremidade

• Configuração aplicada dentro da VM após a atribuição

Uma marca de integridade aprovada confirma que a rede do Azure permite o tráfego da plataforma. Isso não garante que PCs na nuvem ou hosts de sessão possam acessar esses pontos de extremidade após a configuração na VM ser aplicada.

Resumo

A conectividade com 169.254.169.254 e 168.63.129.16 é necessária para a Área de Trabalho Virtual do Azure e o Windows 365. O bloqueio desses pontos de extremidade leva a problemas operacionais e de provisionamento com o Windows 365 e a Área de Trabalho Virtual do Azure.

Esses endereços são pontos de extremidade da plataforma interna do Azure. O tráfego para esses endereços não deve ser proxy, interceptado ou roteado por meio de túneis VPN ou gateways seguros da web.

A maioria das falhas de conectividade ocorre devido à configuração dentro da VM, como clientes VPN, configurações de proxy, firewalls de host ou software de segurança de ponto de extremidade. Problemas na camada de rede são menos comuns, mas podem ocorrer quando regras explícitas visam esses endereços ou suas marcas de serviço.

As verificações de integridade da Conexão de Rede do Azure validam apenas a conectividade da camada de rede. Eles não detectam problemas de configuração na VM.