Noções básicas sobre fluxos de rede - Protocolo de Área de Trabalho Remota

Para garantir o desempenho e a confiabilidade ideais na implantação do Windows 365, é importante entender os principais requisitos de conectividade. Esses requisitos se enquadram em três categorias principais:

• Conectividade RDP (Remote Desktop Protocol) – Aplica-se igualmente ao ambiente de nuvem e aos dispositivos clientes físicos.

• Conectividade de serviço de nuvem – Abrange os requisitos de rede do próprio PC na nuvem para o serviço.

• Conectividade de dispositivo cliente – inclui a configuração de rede para pontos de extremidade físicos que acessam o serviço.

A configuração adequada de cada elemento de conectividade é essencial para proporcionar uma experiência perfeita do Windows 365. Este documento se concentra na compreensão das opções de conectividade RDP disponíveis e em como otimizá-las para obter os mais altos níveis de desempenho e confiabilidade.

Conectividade RDP

A conectividade RDP é um componente crítico da experiência do Windows 365. Ele permite que os usuários se conectem perfeitamente aos seus PCs na nuvem e requer uma configuração de rede cuidadosa para garantir desempenho e confiabilidade.

Características do tráfego RDP

O tráfego RDP tem vários elementos significativos que exigem consideração especial:

• Sensível à latência: O tráfego RDP deve ser entregue com atraso mínimo. Embora o RDP seja adepto de lidar com condições de rede desafiadoras, otimizar para a menor latência possível ajuda a manter uma experiência do usuário responsiva.

• Tempo real: Semelhante ao tráfego de mídia do Microsoft Teams, o tráfego RDP é em tempo real. Qualquer atraso pode interromper a sessão do usuário.

• Volume alto: As sessões RDP podem gerar quantidades substanciais de tráfego. Rotear esse tráfego de forma eficiente e evitar operações dispendiosas, como a inspeção TLS, ajuda a preservar o desempenho e evita a sobrecarga dos dispositivos de rede.

• Vida longa: As conexões RDP geralmente permanecem ativas por longos períodos. O roteamento eficiente reduz o impacto nos dispositivos que executam a conversão de endereços de rede (NAT) e oferece suporte à escalabilidade.

Para manter uma experiência de usuário de alta qualidade, o tráfego RDP deve ser roteado por meio do caminho mais direto e eficiente para a infraestrutura global da Microsoft. É essencial garantir que inspeções, filtros ou desvios desnecessários sejam evitados.

RDP tradicional versus RDP do Windows 365

O Windows 365 usa uma versão modernizada do protocolo RDP, projetado para ambientes de nuvem e criado para oferecer uma experiência segura e perfeita em diversas condições de rede. Esse RDP moderno difere significativamente do RDP usado em ambientes tradicionais de área de trabalho remota.

RDP tradicional

O RDP tradicional, comumente usado em ambientes locais, depende da conectividade de entrada pela porta TCP 3389 para estabelecer sessões de área de trabalho remota. Essa abordagem apresenta desafios de segurança, pois requer a abertura de portas de entrada no perímetro de rede.

RDP moderno no Windows 365

O Windows 365 usa uma implementação moderna do RDP que prioriza a nuvem que difere significativamente dos modelos tradicionais. Ele não requer conectividade de entrada e depende do tráfego de saída nos seguintes protocolos e portas, que devem funcionar em qualquer rede configurada corretamente:

• Porta TCP 443

• Porta UDP 3478

Essas conexões são estabelecidas a partir do PC na nuvem e do dispositivo cliente para a infraestrutura de conectividade global da Microsoft. Outros métodos de conexão RDP também podem estar disponíveis dependendo do ambiente e também são descritos neste artigo.

Esse modelo RDP moderno aprimora a segurança, simplifica a implantação e oferece suporte a exibições e entradas remotas confiáveis em diferentes condições de rede.

Métodos de conectividade RDP no Windows 365

O Windows 365 oferece suporte a vários métodos de conectividade RDP para garantir um desempenho confiável, mesmo em condições de rede desafiadoras. Esses métodos podem ser divididos em opções de conectividade de rede pública e privada.

Métodos de conectividade de rede pública

O Windows 365 dá suporte às seguintes opções de conectividade pública. Esses métodos são o padrão para o serviço:

• Conexão reversa baseada em TCP: Este é o método principal para todas as conexões. Ele usa o RDP de saída pela porta TCP 443 para estabelecer a sessão.

• RDP Shortpath baseado em UDP retransmitido: esse método usa RDP de saída na porta UDP 3478 e se conecta por meio da infraestrutura de retransmissão da Microsoft para melhorar o desempenho de mídia.

• RDP Shortpath baseado em UDP direto: essa opção estabelece uma conexão direta um para um por UDP, reduzindo a latência e melhorando a capacidade de resposta. Este método usa um servidor STUN para tentar encontrar um caminho de conectividade direta viável entre o usuário e seu PC na nuvem

Método de Conectividade de Rede Privada

1. UDP direta em redes privadas Habilita uma conexão UDP um-para-um em uma rede privada. Esse método é aplicável somente para implantações usando a ANC (Conexão de Rede do Azure). Esse método pode ser tecnicamente viável por meio de links VPN, mas é improvável que seja selecionado como uma opção de transporte pelo Windows 365 devido ao baixo desempenho.

Conectividade RDP de Rede Pública

Conexão reversa baseada em TCP

A conexão reversa é o método padrão usado para conexões RDP no Windows 365. Ele inicia a conectividade de saída pela porta TCP 443 e não requer um ouvinte no lado do cliente ou do Cloud PC. Essa abordagem simplifica a implantação e aumenta a segurança, eliminando a necessidade de conexões de entrada e é usada em todas as conexões, independentemente do eventual método usado.

Como funciona a conexão reversa

1. Instalação do Agente de Área de Trabalho Remota: Durante o provisionamento, o Agente de Área de Trabalho Remota é instalado no PC na nuvem para gerenciar a conectividade.

2. Sessão de sinalização persistente: Na inicialização, o Agente RD estabelece uma sessão de sinalização persistente e de saída criptografada por TLS para a infraestrutura do Windows 365. Este processo é automático e não requer configuração manual.

3. Logon de usuário: No dispositivo cliente físico, o usuário faz logon usando um cliente compatível, como o aplicativo do Windows.

4. Autenticação: O Microsoft Entra ID autentica o usuário e retorna um token que enumera os recursos disponíveis do usuário.

5. Validação de token: O cliente passa o token para o serviço de assinatura de feed, que o valida.

6. Enumeração de recursos: O serviço retorna uma lista de PCs na nuvem disponíveis para o usuário na forma de configurações de conexão assinadas digitalmente.

7. Configuração da conexão Armazenamento: O cliente armazena essas configurações como .rdp arquivos para cada recurso.

8. Iniciação da conexão: Quando o usuário seleciona um PC na nuvem, o cliente se conecta ao Azure AFD (Front Door) por meio de um ouvinte anycast. O nó AFD mais próximo é selecionado automaticamente com base na saída da rede.

9. Seleção de Gateway: O AFD avalia a latência para todos os gateways disponíveis e seleciona aquele com a menor latência e menos conexões ativas.

10. Conexão de gateway seguro: O cliente se conecta ao gateway selecionado usando uma conexão TLS 1.3 segura. O gateway valida a solicitação e entra em contato com o agente.

11. Orquestração do agente: O agente identifica o Cloud PC de destino e usa o canal de sinalização existente para iniciar a sessão.

12. Conexão PC na nuvem: A pilha da Área de Trabalho Remota no PC na nuvem inicia uma conexão TLS 1.3 de saída com a mesma instância do gateway.

13. Retransmissão de dados: Depois que ambos os pontos de extremidade estiverem conectados, o gateway retransmitirá dados entre eles e formará o transporte de conexão reversa de base usando um túnel aninhado e a versão mais alta do TLS com suporte mútuo (até TLS 1.3).

14. Handshake RDP O cliente inicia o handshake RDP para estabelecer a sessão.

Diagrama 1: Conexão reversa RDP pela porta TCP 443

RDP Shortpath baseado em UDP direto (usando STUN)

O Windows 365 também usa conectividade RDP baseada em UDP para melhorar o desempenho, a confiabilidade e a taxa de transferência da sessão. Depois que uma sessão de conexão reversa baseada em TCP é estabelecida, o Windows 365 tenta atualizar o transporte para UDP usando um destes dois métodos:

• Direct RDP Shortpath: Estabelece uma conexão UDP um-para-um usando STUN para facilitar.

• RDP Shortpath retransmitido: usa TURN para retransmitir o tráfego UDP por meio de um IP e uma porta conhecidos.

Como funciona o shortpath UDP direto

1. Conexão TCP inicial: A sessão RDP começa em um transporte de Conexão Reversa baseado em TCP por meio do gateway, conforme descrito neste documento.

2. Criação de Soquete UDP: Se o RDP Shortpath estiver habilitado no PC na nuvem (habilitado por padrão), o serviço criará soquetes UDP em todas as interfaces de rede viáveis.

3. Descoberta STUN: O PC na nuvem tenta se conectar a um servidor STUN do Windows 365 na porta UDP 3478. Essa conexão temporária identifica o endereço IP externo e a porta do dispositivo NAT. Nenhum tráfego RDP é roteado por meio do servidor STUN.

4. Intercâmbio de candidatos: O PC na nuvem compartilha suas informações de porta e IP candidatos com o cliente por meio da sessão TCP estabelecida. O cliente também envia sua própria lista de candidatos.

5. Tentativa de conexão: Ambos os pontos de extremidade tentam estabelecer uma conexão UDP direta simultaneamente. Como ambos iniciam o tráfego de saída, esse método geralmente é bem-sucedido mesmo por meio de firewalls restritivos com um tipo de NAT compatível em vigor.

6. Avaliação de Transporte: Se a conexão direta for bem-sucedida e determinada como o caminho mais rápido, todos os canais virtuais dinâmicos, como gráficos, entrada e redirecionamento de dispositivos, mudarão para o novo transporte UDP.

7. Mover para TURN: Se a conectividade baseada em STUN não for possível estabelecer, o sistema tentará se conectar aos servidores TURN na porta UDP 3478. Isso permite a conectividade UDP retransmitida, que tem uma taxa de sucesso mais alta em condições de rede variadas devido à sua capacidade de trabalhar em qualquer tipo de NAT e sub-rede IP conhecida & porta.

Diagrama 2: Conectividade RDP com RDP Shortpath usando STUN

Desafios conhecidos com o Direct RDP Shortpath (usando STUN)

O Direct RDP Shortpath depende do STUN para estabelecer uma conexão UDP um para um. Embora esse método ofereça benefícios significativos de desempenho em relação à conectividade RDP baseada em TCP, ele pode não ser bem-sucedido em determinados ambientes de rede devido a limitações no comportamento da NAT e nas configurações de firewall. Para que esse modelo de conectividade seja bem-sucedido, o tipo de NAT nas redes do dispositivo físico e do PC na nuvem precisa ser de um tipo com suporte.

Muitas vezes, também é um desafio identificar os endereços IP necessários para esse tipo de conectividade com antecedência, como ao configurar um desvio de VPN ou Secure Web Gateway (SWG) para usuários remotos.

Cenários em que o RDP Shortpath direto pode falhar

A conectividade direta pode não funcionar nas seguintes condições, muitas das quais são comuns em redes corporativas:

• NAT duplo: Por exemplo, o tráfego roteado por meio de um SWG (Secure Web Gateway) ou proxy aplica NAT (Conversão de Endereços de Rede) duas vezes, uma na saída do Azure e novamente no ponto de extremidade VPN ou SWG.

• Proxies da Internet ou dispositivos de inspeção: O roteamento por meio de proxies ou dispositivos que inspecionam o tráfego pode interferir na conectividade baseada em STUN. O desvio desses dispositivos pode ser difícil devido à falta de conhecimento prévio das informações de IP da NAT.

• NAT simétrico: Comum em redes corporativas, a NAT simétrica no Cloud PC ou no lado do cliente impede uma negociação STUN bem-sucedida. O Gateway de NAT do Azure usa esse tipo de NAT, assim como muitos outros dispositivos NAT corporativos comuns.

• Acesso UDP restrito: As redes que bloqueiam ou limitam o tráfego UDP ou restringem o acesso a portas ou intervalos de IP específicos impedem a conectividade direta e são comuns em redes corporativas. Contornar essa limitação é difícil devido à falta de conhecimento prévio das portas e endereços IP usados para a conexão.

• NAT de grau de operadora (CGN): Quando várias redes compartilham um endereço IP público, o STUN não consegue estabelecer um caminho exclusivo.

Devido a essas limitações, trate esse método como uma abordagem de melhor esforço e evite investir esforços significativos para fazê-lo funcionar. Em vez disso, priorize a otimização do UDP retransmitido por meio do TURN, que funciona de forma confiável em quase todas as condições de rede.

Saiba mais sobre o shortpath RDP aqui.

Uso de RDP Shortpath retransmitido

Devido a essas limitações, o Direct RDP Shortpath é um modelo de conectividade de melhor esforço. Se não puder ser estabelecido, o Windows 365 reverterá automaticamente para o RDP Shortpath Retransmitido, que usa servidores TURN e tem uma taxa de sucesso significativamente maior. Esse método funciona de forma confiável porque os requisitos de sub-rede e porta para o tráfego de saída são conhecidos com antecedência e, portanto, podem ser abertos e facilmente otimizados.

RDP Shortpath baseado em UDP retransmitido (usando TURN)

O RDP Shortpath retransmitido fornece um método confiável para conectividade RDP baseada em UDP quando o Shortpath direto não é possível. Esse método usa servidores TURN distribuídos globalmente na infraestrutura da Microsoft para retransmitir o tráfego RDP entre o cliente e o PC na nuvem. Esse modelo de conectividade funciona automaticamente e não requer nenhuma configuração além da otimização do tráfego necessário. É essencial que esse método de conectividade seja configurado e otimizado em seus ambientes de rede.

Principais Benefícios

• Ignora as limitações de NAT: Ao contrário das conexões diretas baseadas em STUN, os retransmissores TURN não são afetados por NAT duplo, NAT simétrico ou restrições de firewall.

• Alcance global: Os servidores TURN são implantados em mais de 47 regiões em todo o mundo, permitindo que o tráfego seja retransmitido por um local próximo ao usuário para um desempenho ideal.

• Configuração previsível: O tráfego retransmitido usa sub-redes e portas IP conhecidas, permitindo firewall e otimização de rede, incluindo proxy, Secure Web Gateway (SWG) e desvio de VPN.

Como funciona o RDP Shortpath retransmitido

• Conexão reversa baseada em TCP: A sessão RDP começa na porta TCP 443 usando o método Reverse Connect.

• Tentativa direta de RDP Shortpath: O sistema tenta estabelecer uma conexão UDP direta usando STUN.

• Configurar a conectividade do TURN: Se a conectividade direta falhar, o cliente e o PC na nuvem tentarão conexões de saída com a infraestrutura TURN na porta UDP 3478, visando especificamente a sub-rede dedicada 51.5.0.0/16.

• Avaliação de Transporte: Se a conexão retransmitida for bem-sucedida e for determinada como o caminho mais rápido, todos os canais virtuais dinâmicos, como gráficos, entrada e redirecionamento de dispositivos, mudarão para o novo transporte.

• Persistência de TCP: Se nenhum método UDP for bem-sucedido, a sessão RDP continuará na conexão TCP existente.

• RDP Multipath: com o RDP Multipath, várias conexões UDP são estabelecidas para permitir a conectividade contínua se ocorrerem problemas no caminho ativo.

Diagrama 3: Todas as opções de RDP públicas

Conectividade RDP de Rede Privada

RDP Shortpath para redes gerenciadas

O Windows 365 oferece suporte a um quarto método de conectividade RDP para redes privadas gerenciadas. Essa opção está disponível apenas em cenários de implantação específicos e oferece conectividade UDP direta entre o dispositivo cliente e o PC na nuvem.

Condições de disponibilidade

O RDP Shortpath para redes gerenciadas só tem suporte quando:

• A implantação usa a Conexão de Rede do Azure (ANC). Esse método de conectividade não está disponível para implantações de rede hospedadas pela Microsoft.

• Há uma linha de visão direta entre o dispositivo físico e o PC na nuvem, por meio do ExpressRoute ou VPN site a site.

• O caminho de rede permite que o tráfego seja atravessado com êxito. As regras de firewall devem permitir as portas, protocolos e intervalos de IP necessários.

Métodos de conexão

Essa conectividade pode ser estabelecida de duas maneiras:

1. Ouvinte RDP Shortpath: quando configurado, o PC na nuvem escuta na porta UDP 3390 para conexões de entrada.

2. Descoberta ICE/STUN : Se o método de ouvinte não for viável, o ICE/STUN será usado para descobrir endereços IP disponíveis e negociar uma porta dinâmica. O intervalo de portas é configurável, se necessário.

Depois que a conexão UDP for estabelecida com êxito, o caminho público baseado em TCP será descartado e a sessão continuará pela rede privada.

Para obter mais detalhes, consulte a documentação do RDP Shortpath para redes privadas

Diagrama 4: RDP Shortpath para redes privadas

RDP Multipath

O RDP Multipath é um aprimoramento de conectividade inovador para o Windows 365 que melhora a confiabilidade e o desempenho da sessão gerenciando de forma inteligente vários caminhos de rede. Ele se baseia no RDP Shortpath e usa o ICE (Interactive Connectivity Establishment) para descobrir e avaliar várias rotas UDP em tempo real, incluindo aquelas que usam protocolos STUN e TURN.

Esse recurso garante que, se o caminho ativo se tornar instável ou falhar, o sistema alterne automaticamente para um caminho de backup, sem interromper a sessão do usuário. O roteamento de vários caminhos é especialmente benéfico em ambientes com condições de rede flutuantes, oferecendo uma experiência de área de trabalho remota mais suave e resiliente.

Para obter detalhes completos, visite a documentação do RDP Multipath.

RDP Resumo do método de conexão

A tabela a seguir é um resumo dos métodos RDP disponíveis para se conectar com segurança ao seu PC na nuvem.

Certifique-se de marcar a página Requisitos de Rede para obter os requisitos completos de conectividade.

Detectar qual transporte RDP é usado.

Para obter mais detalhes sobre como detectar qual método de transporte está em uso para uma conexão específica, consulte o artigo "Verificar se o RDP Shortpath está funcionando"