Noções básicas sobre os requisitos de conectividade do Windows 365 - Conectividade do lado da nuvem

Este documento se concentra na conectividade e otimização necessárias no lado do Windows 365 para garantir o provisionamento e a operação bem-sucedidos de seus PCs na nuvem.

Introdução

Compreender os requisitos de conectividade do Windows 365 é fundamental para alcançar o melhor desempenho e confiabilidade na implantação da sua organização.

Os requisitos de conectividade de serviço se enquadram em três áreas:

• Conectividade RDP

• Conectividade de serviço do lado da nuvem (este documento)

• Conectividade de cliente físico

Opções de implantação

O Windows 365 oferece dois modelos de implantação para conectividade de rede em nuvem. O esforço técnico varia significativamente entre eles. Para obter detalhes, consulte a documentação Opções de Implantação .

A Rede Hospedada da Microsoft é a opção recomendada devido a:

• Configuração automática: a Microsoft fornece toda a conectividade de rede subjacente.

• Infraestrutura gerenciada: a Microsoft lida com manutenção, atualizações e segurança.

• Seguro por design: sem conectividade de entrada ou tráfego de PC entre nuvens.

• Baixa complexidade: dependências mínimas do lado do cliente permitem uma implantação rápida.

• Alta flexibilidade: ideal para cenários de configuração rápida ou continuidade de negócios.

• Menor custo: A infraestrutura de rede subjacente é fornecida a você pela Microsoft.

Escolher essa opção simplifica muito a configuração e a operação da conectividade e deve ser a escolha padrão, a menos que o modelo Azure Network Connection (ANC) seja necessário.

Conexão de rede do Azure (ANC). O ANC requer configuração e manutenção de rede completas do lado do cliente:

• Rede gerenciada pelo cliente: configure roteamento, regras e segurança em sua própria VNet, dentro de sua própria assinatura do Azure.

• Manutenção contínua: além dos padrões do Azure, sua equipe de rede gerencia atualizações e manutenção geral.

• Responsabilidade de segurança: sua equipe protege a rede.

• Experiência em rede do Azure necessária: habilidades de rede do Azure necessárias para implantar e operar a rede subjacente.

• Tempos de implantação mais longos: Maior sobrecarga e menor flexibilidade.

• Custos de rede: Os elementos de rede, incluindo largura de banda e firewalls, são cobrados da sua assinatura do Azure.

Há dois elementos a serem entendidos ao configurar a conectividade no lado do PC na nuvem, e esses elementos diferem dependendo da opção de implantação escolhida:

• Requisitos de rede subjacentes: a configuração para a rede subjacente na qual a rede virtual do PC na nuvem card fica.

• Configuração do PC na nuvem: a configuração de rede aplicada ao próprio PC na nuvem, como configurações e software de proxy, VPN ou SWG (Secure Web Gateway).

Requisitos de Conectividade de Rede Hospedada da Microsoft

Requisitos de rede subjacentes:

Nenhuma configuração é necessária porque a Microsoft gerencia totalmente a infraestrutura em seu nome.

Configuração do PC na nuvem:

Os softwares VPN e Secure Web Gateway (SWG) podem afetar o fluxo de tráfego e desviá-lo de um caminho direto por meio da rede subjacente. Siga estas diretrizes para garantir alto desempenho e confiabilidade:

1. Otimize o tráfego RDP ignorando túneis VPN/SWG e roteando diretamente para o backbone da Microsoft.

2. Ignore outros endpoints necessários de túneis VPN/SWG para acesso direto ao serviço sempre que possível.

3. Certifique-se de que os endpoints permaneçam acessíveis se o tráfego for roteado inadvertidamente por meio de VPN/SWG, por exemplo, garantindo que eles sejam permitidos e não inspecionados por meio da solução SWG.

4. Configure túneis de pré-logon ou de computador para ignorar os pontos de extremidade necessários. Se isso não for feito, isso afetará a disponibilidade do PC na nuvem, pois a conectividade é necessária antes que um usuário faça logon no PC na nuvem.

5. Considere ignorar VPN/SWGs para outro tráfego do Microsoft 365 que se beneficia do Roteamento Direto, como o tráfego do Microsoft 365. A rede da Microsoft fornece um caminho de alta largura de banda e baixa latência para esses serviços.

No exemplo a seguir, vemos um PC na nuvem implantado pela Microsoft Hosted Network com o software Secure Web Gateway instalado.

• O caminho 1, mostrado como uma linha verde tracejada, envia o RDP e outros pontos de extremidade importantes diretamente para a rede da Microsoft, ignorando o túnel SWG. Essa rota direta melhora o desempenho e a confiabilidade, evitando o congestionamento do tráfego pelo SWG.

• O caminho 2, mostrado como uma linha azul sólida, envia todo o tráfego através do túnel SWG ou solução de acesso privado quando necessário. A rede de alta velocidade da Microsoft faz a conexão diretamente com a Internet para acessar serviços externos.

Diagrama 1: ANC com RDP otimizado e caminho padrão do Firewall do Azure local.

Requisitos de conectividade ANC (conexão de rede do Azure)

Para manter a confiabilidade e o desempenho das implantações de ANC, certifique-se de que as seguintes configurações de práticas recomendadas estejam em vigor. Como a rede subjacente nesta opção de implantação está totalmente dentro de sua própria assinatura do Azure, há um número considerável de requisitos a serem garantidos. Consulte este documento para obter orientação sobre como criar inicialmente um ANC.

Requisitos de rede subjacentes:

1. Alocar espaço suficiente no IP: Recomenda-se o dobro da contagem máxima de PCs na nuvem. Mantenha pelo menos 50% gratuito para cenários de recuperação de desastre em que todos os PCs na nuvem podem precisar ser reprovisionados.

2. Configurar DNS: Use o DNS do Azure ou um servidor DNS personalizado acessível. Garanta uma resolução robusta de nomes, o uso de vários servidores DNS é recomendado para redundância e alta disponibilidade.

3. Desabilitar inspeção TLS: O tráfego para os pontos de extremidade necessários não deve ser inspecionado; A interceptação de TLS interrompe fluxos críticos.

4. Use o ExpressRoute ou VPN site a site somente para tráfego local: Escalar circuitos para carga do Windows 365. Use a interrupção do Azure local para todos os outros tráfegos, sempre que possível.

5. Encaminhe os pontos de extremidade necessários para uma saída no Azure: evite o roteamento local, pois isso fornece um caminho ineficiente, o que pode levar a problemas de desempenho ou confiabilidade. Use marcas FQDN para automatizar regras se estiver usando o Firewall do Azure.

6. Aplique regras baseadas em FQDN em qualquer NVA (Dispositivo Virtual de Rede) usado: Muitos pontos de extremidade não podem ser representados como intervalos de IP; Configure as regras de acordo.

7. Use o Gateway NAT em vez de um NVA, como o Firewall do Azure, para tráfego de saída crítico e de longa duração, como tráfego RDP e VPN/SWG: um Gateway NAT fornece o caminho mais otimizado para esse tráfego crítico e evita problemas causados pela carga no firewall ou redução de escala causando queda de conexões.

8. Configure UDRs (rotas definidas pelo usuário) para roteamento direto de tráfego RDP: Use a marca de serviço para direcionar o WindowsVirtualDesktop tráfego RDP para o Gateway da NAT

9. Atribua vários IPs públicos ao gateway NAT: Vários IPs distribuem o tráfego entre os endereços IP usados e impedem gatilhos de proteção contra DDoS.

10. Verifique os NSGs (Grupos de Segurança de Rede ): Verifique se eles não bloqueiam os pontos de extremidade necessários.

11. Não é necessária conectividade de entrada: Todo o tráfego é de saída.

12. Executar a marca de integridade do ANC: Valide a configuração e corrija os problemas antes de provisionar PCs na Nuvem.

Diagrama 2: ANC com RDP otimizado e caminho padrão do Firewall do Azure local.

Este diagrama mostra três rotas principais configuradas na VNet (rede virtual) do Azure:

Rota padrão (0.0.0.0/0 UDR de rota definida pelo usuário) Envia todo o tráfego para o IP privado do Firewall do Azure, que se torna o caminho padrão. O firewall permite tráfego aprovado para a rede da Microsoft e para a Internet, conforme necessário. Use esse caminho para outros pontos de extremidade de serviço do Windows 365 que não exigem tratamento especial.

1. Rota otimizada para tráfego RDP Uma UDR mais específica envia a WindowsVirtualDesktop marca de serviço para "Internet", que neste exemplo usa um Gateway NAT. Esse caminho é otimizado para RDP e também deve ser usado para tráfego de longa duração ou sensível à latência que não precisa atravessar o firewall. 'Internet' não significa que esse tráfego atinge a Internet pública para pontos de extremidade hospedados da Microsoft.

2. Rota local O Gateway ExpressRoute fornece uma rota mais específica para tráfego local, por exemplo, qualquer coisa no 10.0.0.0/8 intervalo.

Consulte o documento Usar o Firewall do Azure para gerenciar e proteger ambientes do Windows 365 para obter mais detalhes.

Configuração do PC na Nuvem

Como é o caso das implantações de Rede Hospedada da Microsoft, mesmo que a rede subjacente esteja configurada corretamente, as alterações na conectividade de rede no próprio PC na nuvem podem afetar a implantação, o desempenho e a confiabilidade. Certifique-se de que as etapas a seguir também sejam seguidas para implantações de ANC.

1. Otimize o tráfego RDP ignorando os túneis VPN/SWG e roteando diretamente para o backbone da Microsoft por meio da rede ANC.

2. Ignore os endpoints necessários dos túneis VPN/SWG para acesso direto ao serviço.

3. Certifique-se de que os endpoints permaneçam acessíveis se o tráfego for roteado inadvertidamente por meio de VPN/SWG. Por exemplo, certifique-se de que os pontos de extremidade sejam adicionados às listas de permissões.

4. Configure túneis de pré-logon ou de computador para ignorar os pontos de extremidade necessários. Se isso não for feito, isso afetará a disponibilidade do PC na nuvem.

5. Considere ignorar VPN/SWGs para outro tráfego do Microsoft 365 que se beneficia do roteamento direto, como o tráfego do Microsoft 365.