Princípios de conectividade do Windows 365

Antes de planejar sua rede para o Windows 365, é essencial entender os princípios de conectividade que garantem que seus usuários tenham acesso seguro, confiável e de alto desempenho ao PC na nuvem. Este artigo ajuda você a entender as diretrizes mais recentes para otimizar com segurança esse tráfego crítico.

As redes corporativas tradicionais são projetadas principalmente para fornecer acesso a aplicativos e dados hospedados no datacenter operado pela empresa. Essas redes contam com segurança de perímetro, que inclui firewalls, sistemas de detecção de intrusão e ferramentas de inspeção de tráfego para proteger do mundo externo não confiável. Esse modelo tradicional pressupõe que os usuários acessem aplicativos e dados de dentro da rede corporativa, diretamente de sites corporativos ou remotamente por meio de conexões de VPN (Rede Virtual Privada). Essa arquitetura é otimizada para controles e proteção centralizados, mas pode introduzir latência e complexidade ao acessar serviços baseados em nuvem.

O Windows 365 pode oferecer uma experiência totalmente baseada em SaaS para um PC na nuvem, permitindo que as organizações forneçam ambientes de desktop seguros, confiáveis e de alto desempenho para usuários em todo o mundo. A conectividade com a infraestrutura fornecida para permitir essa conectividade globalmente perfeita, portanto, precisa de otimização especial para garantir o melhor desempenho e qualidade possíveis para os usuários finais.

Arquitetura do Windows 365

O Windows 365 é um serviço de SaaS (software como serviço) distribuído geograficamente. Os PCs na nuvem podem ser implantados em várias regiões globais para atender às necessidades organizacionais e do usuário.

A conectividade entre o usuário e seu PC na nuvem deve ser projetada de acordo com as diretrizes fornecidas. Essa abordagem ajuda a otimizar o desempenho usando a rede global da Microsoft e a infraestrutura de borda de serviço mais próxima do usuário e do PC na nuvem, em vez de basear o design no local do destino.

• A Microsoft opera uma das maiores redes globais, oferecendo conexões altamente disponíveis, de alta largura de banda e baixa latência entre os datacenters e a borda da Internet. Com 185 pontos de presença (PoPs) de rede global e crescendo, essa infraestrutura aproxima a conectividade de seus usuários.

• O Windows 365 usa pontos de entrada de serviço distribuídos globalmente, incluindo um serviço de gateway para conexões RDP (protocolo TCP) e retransmissores TURN para conexões UDP (User Datagram Protocol). Esses pontos de entrada são posicionados próximos aos usuários, onde quer que estejam, para garantir a conectividade ideal.

• Os PCs na nuvem podem acessar diretamente a rede de backbone da Microsoft para acessar essas portas de frente de serviço assim que um usuário se conecta a eles. Se roteado corretamente, o tráfego para pontos de extremidade hospedados pela Microsoft nunca toca na Internet a partir do PC na nuvem.

Usar todos os três elementos corretamente ajuda a garantir uma conectividade rápida e confiável entre os usuários e seus PCs na nuvem, independentemente de onde os usuários estejam localizados.

Elementos de conectividade a serem compreendidos

Os requisitos de conectividade do Windows 365 podem ser agrupados em três categorias:

a.     Conectividade RDP

O tráfego RDP forma a conexão principal entre o usuário final e seu PC na nuvem. Ele usa os mesmos pontos de extremidade de saída no dispositivo físico e no PC na nuvem. Otimizar esse tráfego é essencial para garantir uma conectividade confiável e de alto desempenho

b.     Conectividade de serviço do Cloud Side

Esse tráfego é essencial para provisionar PCs na nuvem e operar o serviço. A maioria dos pontos de extremidade está hospedada no backbone da Microsoft, portanto, rotear o tráfego diretamente para eles melhora o desempenho e a confiabilidade. Ele também fornece os mais altos níveis de segurança, pois o tráfego não atravessa a Internet pública.

c.     Conectividade de cliente físico

Além das conexões RDP descritas aqui, todos os outros requisitos de ponto de extremidade físico do lado do cliente podem ser tratados como tráfego normal da web e gerenciados de acordo com as práticas padrão da sua organização.

Princípios de conectividade do Windows 365

A Microsoft recomenda os seguintes princípios para alcançar conectividade e desempenho ideais. O principal objetivo no design de rede do Windows 365 é minimizar a latência, reduzindo o RTT (tempo de ida e volta) entre sua rede e a Rede Global da Microsoft. Esse backbone de rede interconecta todos os datacenters da Microsoft e fornece baixa latência entre os locais de datacenter e a borda da rede, perto de seus usuários. Para obter o melhor desempenho e confiabilidade ao se conectar a partir do PC na nuvem, aplique as seguintes otimizações:

1. Implante o PC na nuvem o mais próximo possível do usuário

Colocar o PC na nuvem o mais próximo possível do local do usuário final ajuda a minimizar a latência. A Microsoft oferece opções de implantação em muitas regiões do Azure em todo o mundo. Escolher a região mais próxima do usuário reduz a latência entre o usuário e seu PC na nuvem, oferecendo o melhor desempenho.

Em alguns casos, a implantação local do PC na nuvem pode não ser possível devido a requisitos de conformidade ou restrições de latência de dados do aplicativo. Quando a implantação local não é possível, a otimização no nível da rede se torna mais crítica para manter o desempenho em distâncias maiores.

Independentemente de onde o PC na nuvem esteja implantado, siga estes princípios de rede para garantir o máximo de desempenho e confiabilidade.

2. Identificar e diferenciar o tráfego do Windows 365

Identificar o tráfego de rede do Windows 365 é a primeira etapa para diferenciar esse tráfego do tráfego de rede genérico vinculado à Internet, quando apropriado. A conectividade do Windows 365 pode ser otimizada com a implementação de uma combinação de abordagens, como:

Otimização de rota de rede

• Bypass de VPN/Gateway seguro da Web (SWG)

• Regras do firewall

• Configurações de proxy do navegador.

• Desvio de dispositivos de inspeção de rede para determinados pontos de extremidade.

Os detalhes dos pontos de extremidade necessários para o serviço podem ser resumidos em uma das três categorias a seguir

a.      RDP – Requisitos idênticos no lado da nuvem e do dispositivo físico

b.     Conectividade de serviço do Cloud Side

c.      Requisitos de conectividade do cliente físico

O tráfego nas áreas (a) e (b) precisa de otimização especial, enquanto o tráfego nas áreas (c) não. A divisão dos pontos de extremidade nessas categorias pode ser encontrada nos links fornecidos. Os detalhes desses pontos de extremidade podem ser encontrados na documentação de Requisitos de Rede.

3. Conexões de rede de saída localmente

Para os pontos de extremidade recomendados, o tráfego deve ser de saída local e direto,

• Para o lado do PC na nuvem, o tráfego deve ser roteado diretamente da VNet para a rede do Azure, evitando túneis VPN, Gateways Seguros da Web, proxies ou saída local.

• Para dispositivos clientes físicos, deixe o tráfego do serviço de chaves sair o mais próximo possível do usuário (por exemplo. através de uma saída SD-WAN local ou de um ISP (Internet Service Provider) doméstico em vez de o enviar primeiro para um site central.

Diagrama 1: Otimização de RDP com interrupção local

Esta imagem demonstra o seguinte:

• A saída local do tráfego RDP em Chennai garante que o tráfego entre na rede global da Microsoft no local de emparelhamento de Chennai.
• As portas frontais de serviço local (Gateways de Área de Trabalho Remota e Retransmissores TURN) minimizam a latência mantendo as conexões próximas ao usuário.
• O elemento de backhaul de longa distância da porta da frente do serviço para o PC na nuvem no centro dos EUA é executado inteiramente na rede da Microsoft, fornecendo um caminho otimizado, de alta largura de banda e baixa latência com links redundantes.
• Esse design oferece a menor latência possível, alto desempenho, risco reduzido de desconexões e uma excelente experiência do usuário, evitando a Internet pública na maior parte do caminho.
• Quando configurado corretamente, o tráfego RDP do PC na nuvem para o front door do serviço permanece inteiramente na rede da Microsoft e nunca atravessa a Internet pública.

Use um acesso de internet local próximo ao usuário para que o tráfego entre rapidamente na rede global da Microsoft. Essa abordagem permite que os pontos de entrada próximos da Microsoft otimizem a conexão e ajuda a garantir um acesso confiável ao PC na nuvem, independentemente do local de hospedagem.

Essa infraestrutura inclui:

• Mais de 185 pontos de presença na borda da internet

• Mais de 165.000 milhas de fibra óptica e cabeamento submarino conectando usuários ao Microsoft Cloud

• Gateways RDP para RDP baseado em TCP em mais de 40 regiões do Azure

• Retransmissores TURN para RDP baseado em UDP em mais de 40 regiões do Azure

Os acessos à Internet local conectam os usuários à infraestrutura do Windows 365 próxima à sua localização. A partir daí, todo o tráfego para o PC na nuvem viaja pela rede global segura, de alta velocidade e baixa latência da Microsoft.

4. Avalie como ignorar proxies, VPNs, Secure Web Gateways e dispositivos de inspeção de tráfego.

Os clientes corporativos devem analisar seus controles de segurança para o tráfego do Windows 365 e permitir um caminho direto para o tráfego de serviços importantes. Isso reduz a dependência de ferramentas de segurança caras e intrusivas que podem prejudicar o desempenho e a confiabilidade. A maioria das redes corporativas impõe a segurança de rede para o tráfego da Internet usando tecnologias como proxies, inspeção TLS (Transport Layer Security), inspeção de pacotes e sistemas de prevenção contra perda de dados. Essas tecnologias fornecem uma mitigação de risco importante para solicitações genéricas da Internet, mas podem reduzir drasticamente o desempenho, a escalabilidade e a qualidade da experiência do usuário final quando aplicadas a determinados pontos de extremidade do Windows 365. As seguintes otimizações de rede são recomendadas para todos os pontos de extremidade do Windows 365 realçados:

Para tráfego RDP:

• Ignore o tráfego da descriptografia, interceptação, inspeção profunda de pacotes e filtragem de conteúdo de & de pacotes de rede TLS no lado do PC na nuvem e no lado do dispositivo físico. A inspeção desse tráfego não tem suporte e não oferece nenhum benefício.

• No Azure, use uma UDR (Rota Definida pelo Usuário) para enviar tráfego RDP diretamente para a Internet, evitando qualquer dispositivo de inspeção, como um Firewall. Por exemplo, envie diretamente para um Gateway NAT, evitando o caminho do Firewall. Consulte a documentação do Windows 365 Firewall do Azure para obter um exemplo detalhado.

• Exclua o tráfego RDP de túneis VPN, SWG (Secure Web Gateway) e proxy configurados em PCs na nuvem e dispositivos físicos.

• Forneça um caminho direto para que o tráfego chegue à Internet no lado do cliente físico da mesma maneira que é feito para o tráfego de mídia do Teams.

• Forneça acesso à Internet local para o tráfego RDP do cliente físico em vez de fazer o backhaul para uma saída central ou remota, para que ele possa usar a infraestrutura de serviço próxima e a rede global da Microsoft.

Para requisitos de Conectividade de Serviço do Lado da Nuvem:

• Verifique se a rota padrão envia tráfego para um ponto de saída do Azure (por exemplo, um Firewall do Azure) em vez de fazer o backhaul local.

• Exclua o tráfego do Windows 365 da descriptografia, interceptação, inspeção profunda de pacotes e filtragem de conteúdo TLS para evitar problemas de desempenho e confiabilidade. Quando a filtragem for necessária, permita-a diretamente por meio do Firewall do Azure.

• Ignore configurações de VPN, SWG (Secure Web Gateway) e proxy para o tráfego do Windows 365.

Para conectividade de Cliente Físico

• Exclua o tráfego RDP dos túneis VPN, Secure Web Gateway (SWG) e proxy configurados no dispositivo.

• Forneça um acesso direto à Internet local para todo o tráfego RDP para minimizar a latência e melhorar a confiabilidade.

• Desabilite a inspeção TLS no caminho de saída para o tráfego RDP para evitar a interrupção da sessão.

• Lide com todos os outros pontos de extremidade como tráfego da Web padrão de acordo com o modelo normal de conectividade externa da sua organização.

Considerações de segurança do Windows 365

Ao implementar otimizações para conectividade do Windows 365, lembre-se destes pontos:

• A maioria dos pontos de extremidade necessários são apenas de serviço. Eles existem para operar o serviço do Windows 365 e não transportam dados gerados pelo usuário.

• O tráfego do protocolo RDP é a exceção, dados como o redirecionamento da área de transferência são transportados dentro desse tráfego, mas seu caminho é isolado para a conexão entre o dispositivo físico e o PC na nuvem.

• A inspeção ou o roteamento não otimizado podem prejudicar o desempenho. Técnicas como inspeção profunda de pacotes, interceptação TLS ou backhaul geralmente introduzem latência e reduzem a confiabilidade.

• A inspeção de TLS não oferece nenhum benefício para esses pontos de extremidade. Os pontos de extremidade já usam o TLS para comunicação segura e os dados estão relacionados ao serviço.

• O tráfego RDP é criptografado duas vezes. As ferramentas tradicionais de inspeção em linha não podem descriptografá-lo.

• O tráfego de alto volume pode sobrecarregar os dispositivos de segurança. Quando esse cenário ocorre, outros serviços críticos que compartilham a mesma infraestrutura podem ser interrompidos.

• A maioria dos pontos de extremidade está hospedada na infraestrutura da Microsoft.

• A saída local direta para o backbone do Azure é o caminho mais eficiente e seguro. No Cloud PC, o tráfego permanece na rede global da Microsoft sem atravessar a Internet pública.

• A maior parte do tráfego já é criptografado por TLS, o que protege a confidencialidade em trânsito.

• O tráfego na porta TCP 80 não transporta dados privados. Ele é necessário para funções específicas, como a comunicação do Azure Fabric e verificações de CRL (lista de certificados revogados).

Todas as exceções são claramente documentadas. O tráfego que não atende a esses critérios é identificado nos requisitos de ponto de extremidade do Windows 365 e pode seguir caminhos padrão da Internet.

Simplificar a implantação

O Windows 365 oferece duas opções para conectividade de rede. Escolher o caminho certo pode reduzir significativamente a complexidade, o custo e o risco.

• Conexão de Rede do Azure (ANC): com o ANC, você gerencia a conectividade subjacente. A implementação desses requisitos geralmente envolve semanas ou meses de trabalho para configurar rede, regras de firewall, UDRs, ExpressRoute e NSGs (Grupos de Segurança de Rede), além de manutenção contínua. Ele reflete uma extensão de rede corporativa tradicional, da qual muitas organizações estão se afastando.

• Rede Hospedada da Microsoft: A opção Rede Hospedada da Microsoft permite uma implantação rápida com sobrecarga mínima de rede. A Microsoft projeta, mantém e protege o ambiente para garantir a conectividade ideal. Sua principal tarefa é garantir que o tráfego principal ignore os túneis VPN ou SWG, que geralmente são rápidos de configurar. Esse modelo se alinha aos princípios de Confiança Zero e funciona bem com soluções modernas de SWG e Acesso Privado.

Muitas organizações já usam uma abordagem semelhante para funcionários remotos, fornecendo laptops gerenciados por meio de gerenciamento de endpoint moderno e Confiança Zero. A Rede Hospedada da Microsoft aplica o mesmo conceito aos PCs na nuvem, tratando-os como dispositivos domésticos seguros que só fazem conexões de saída. Esse design encurta os cronogramas do projeto, aumenta a flexibilidade e simplifica o gerenciamento contínuo.

Leia mais sobre essa opção de design na documentação das opções de implantação do Windows 365.