Informacje o przepływach sieci — protokół pulpitu zdalnego

Aby zapewnić optymalną wydajność i niezawodność wdrożenia Windows 365, należy zrozumieć kluczowe wymagania dotyczące łączności. Te wymagania dzielą się na trzy główne kategorie:

• Łączność protokołu RDP (Remote Desktop Protocol) — dotyczy w równym stopniu zarówno środowiska chmury, jak i fizycznych urządzeń klienckich.

• Łączność usługi w chmurze — obejmuje wymagania dotyczące sieci z samego komputera w chmurze do usługi.

• Łączność urządzenia klienckiego — obejmuje konfigurację sieci fizycznych punktów końcowych uzyskujących dostęp do usługi.

Właściwa konfiguracja każdego elementu łączności jest niezbędna do zapewnienia bezproblemowego środowiska Windows 365. Ten dokument koncentruje się na zrozumieniu dostępnych opcji łączności RDP i sposobie ich optymalizowania pod kątem najwyższych poziomów wydajności i niezawodności.

Łączność RDP

Łączność RDP jest kluczowym składnikiem środowiska Windows 365. Umożliwia użytkownikom bezproblemowe łączenie się z komputerami w chmurze i wymaga starannej konfiguracji sieci w celu zapewnienia wydajności i niezawodności.

Charakterystyka ruchu RDP

Ruch RDP ma kilka istotnych elementów, które wymagają szczególnej uwagi:

• Poufne opóźnienie: Ruch RDP musi być dostarczany z minimalnym opóźnieniem. Chociaż protokół RDP jest biegły w obsłudze trudnych warunków sieciowych, optymalizacja pod kątem jak najmniejszego opóźnienia pomaga utrzymać dynamiczne środowisko użytkownika.

• Czasu rzeczywistego: Podobnie jak w przypadku ruchu multimediów w usłudze Microsoft Teams ruch RDP jest w czasie rzeczywistym. Każde opóźnienie może zakłócić sesję użytkownika.

• Duża ilość: Sesje RDP mogą generować znaczne ilości ruchu. Wydajne kierowanie tego ruchu i unikanie kosztownych operacji, takich jak inspekcja protokołu TLS, pomaga zachować wydajność i zapobiega przeciążaniu urządzeń sieciowych.

• Długowieczne: Połączenia RDP często pozostają aktywne przez dłuższy czas. Wydajny routing zmniejsza wpływ na urządzenia wykonujące translowanie adresów sieciowych (NAT) i obsługuje skalowalność.

Aby zachować wysoką jakość środowiska użytkownika, ruch RDP powinien być kierowany przez najbardziej bezpośrednią i wydajną ścieżkę do globalnej infrastruktury firmy Microsoft. Zapewnienie niepotrzebnej inspekcji, filtrowania lub objaśnień jest niezbędne.

Tradycyjny protokół RDP a Windows 365 RDP

Windows 365 korzysta z zmodernizowanej wersji protokołu RDP (Remote Desktop Protocol), zaprojektowanej dla środowisk w chmurze i utworzonej w celu zapewnienia bezpiecznego, bezproblemowego środowiska w różnych warunkach sieciowych. Ten nowoczesny protokół RDP znacznie różni się od protokołu RDP używanego w tradycyjnych środowiskach pulpitu zdalnego.

Tradycyjny protokół RDP

Tradycyjny protokół RDP, często używany w środowiskach lokalnych, opiera się na łączności przychodzącej za pośrednictwem portu TCP (Transmission Control Protocol) 3389 w celu ustanowienia sesji pulpitu zdalnego. Takie podejście wprowadza wyzwania związane z zabezpieczeniami, ponieważ wymaga otwarcia portów przychodzących na obwodzie sieci.

Nowoczesny protokół RDP w Windows 365

Windows 365 korzysta z nowoczesnej implementacji protokołu RDP w chmurze, która znacznie różni się od tradycyjnych modeli. Nie wymaga łączności przychodzącej i opiera się na ruchu wychodzącym za pośrednictwem następujących protokołów i portów, które powinny działać w dowolnej poprawnie skonfigurowanej sieci:

• Port TCP 443

• Port UDP 3478

Te połączenia są nawiązywane zarówno z komputera w chmurze, jak i urządzenia klienckiego z globalną infrastrukturą łączności firmy Microsoft. Inne metody połączeń RDP mogą być również dostępne w zależności od środowiska i są również opisane w tym artykule.

Ten nowoczesny model RDP zwiększa bezpieczeństwo, upraszcza wdrażanie i obsługuje niezawodne zdalne wyświetlanie i wprowadzanie danych wejściowych w różnych warunkach sieciowych.

Metody łączności RDP w Windows 365

Windows 365 obsługuje wiele metod łączności RDP, aby zapewnić niezawodną wydajność, nawet w trudnych warunkach sieciowych. Te metody można podzielić na opcje łączności sieci publicznej i prywatnej.

Metody łączności sieci publicznej

Windows 365 obsługuje następujące opcje łączności publicznej. Te metody są domyślne dla usługi:

• Odwrotne połączenie oparte na protokole TCP: Jest to metoda podstawowa dla wszystkich połączeń. Do ustanowienia sesji jest używany wychodzący protokół RDP przez port TCP 443.

• Skrócona ścieżka PROTOKOŁU RDP oparta na protokole RDP oparta na protokole UDP: Ta metoda używa wychodzącego protokołu RDP za pośrednictwem portu UDP 3478 i łączy się za pośrednictwem infrastruktury przekaźnika firmy Microsoft w celu zwiększenia wydajności multimediów.

• Krótka ścieżka RDP oparta na protokole RDP oparta na protokole UDP: Ta opcja ustanawia bezpośrednie połączenie jeden do jednego za pośrednictwem protokołu UDP, zmniejszając opóźnienia i poprawiając czas odpowiedzi. Ta metoda używa serwera usługi STUN do znalezienia możliwej do pracy ścieżki bezpośredniej łączności między użytkownikiem a jego komputerem w chmurze

Metoda łączności sieci prywatnej

1. Bezpośrednie UDP za pośrednictwem sieci prywatnych Włącza połączenie UDP jeden-do-jednego za pośrednictwem sieci prywatnej. Ta metoda ma zastosowanie tylko w przypadku wdrożeń korzystających z Azure połączenia sieciowego (ANC). Ta metoda może być technicznie wykonalna za pośrednictwem linków sieci VPN, ale jest mało prawdopodobne, aby została wybrana jako opcja transportu przez Windows 365 ze względu na niską wydajność.

Łączność RDP w sieci publicznej

Odwrotne połączenie oparte na protokole TCP

Reverse Connect to domyślna metoda używana dla połączeń RDP w Windows 365. Inicjuje łączność wychodzącą za pośrednictwem portu TCP 443 i nie wymaga odbiornika po stronie klienta lub komputera w chmurze. Takie podejście upraszcza wdrażanie i zwiększa bezpieczeństwo, eliminując potrzebę połączeń przychodzących i jest używane w każdym połączeniu niezależnie od używanej metody ostatecznej.

Jak działa reverse connect

1. Instalacja agenta usług pulpitu zdalnego: Podczas aprowizacji agent usług pulpitu zdalnego jest instalowany na komputerze w chmurze w celu zarządzania łącznością.

2. Trwała sesja sygnalizacji: Podczas uruchamiania agent usług pulpitu zdalnego ustanawia trwałą, wychodzącą sesję sygnału zaszyfrowaną za pomocą protokołu TLS do infrastruktury Windows 365. Ten proces jest automatyczny i nie wymaga ręcznej konfiguracji.

3. Logowanie użytkownika: Na fizycznym urządzeniu klienckim użytkownik loguje się przy użyciu obsługiwanego klienta, takiego jak Windows App.

4. Uwierzytelnianie: Tożsamość Microsoft Entra uwierzytelnia użytkownika i zwraca token, który wylicza dostępne zasoby użytkownika.

5. Weryfikacja tokenu: Klient przekazuje token do usługi subskrypcji kanału informacyjnego, która go weryfikuje.

6. Wyliczenie zasobu: Usługa zwraca listę dostępnych komputerów w chmurze dla użytkownika w postaci konfiguracji połączeń podpisanych cyfrowo.

7. Magazyn konfiguracji połączenia: Klient przechowuje te konfiguracje jako .rdp pliki dla każdego zasobu.

8. Inicjowanie połączenia: Gdy użytkownik wybierze komputer w chmurze, klient nawiązuje połączenie z usługą Azure Front Door (AFD) za pośrednictwem odbiornika emisji dowolnej. Najbliższy węzeł AFD jest wybierany automatycznie na podstawie ruchu wychodzącego sieci.

9. Wybór bramy: Usługa AFD ocenia opóźnienie dla wszystkich dostępnych bram i wybiera tę z najniższym opóźnieniem i najmniejszą liczbą aktywnych połączeń.

10. Bezpieczne połączenie bramy: Klient nawiązuje połączenie z wybraną bramą przy użyciu bezpiecznego połączenia TLS 1.3. Brama weryfikuje żądanie i kontaktuje się z brokerem.

11. Orkiestracja brokera: Broker identyfikuje docelowy komputer w chmurze i używa istniejącego kanału sygnałowego do zainicjowania sesji.

12. Połączenie hosta sesji: Stos pulpitu zdalnego na komputerze w chmurze inicjuje wychodzące połączenie TLS 1.3 z tym samym wystąpieniem bramy.

13. Przekaźnik danych: Po połączeniu obu punktów końcowych brama przekazuje dane między nimi i tworzy podstawowy transport reverse connect przy użyciu zagnieżdżonego tunelu i najwyższej wzajemnie obsługiwanej wersji protokołu TLS (do protokołu TLS 1.3).

14. Uzgadnianie protokołu RDP Klient rozpoczyna uzgadnianie protokołu RDP w celu ustanowienia sesji.

Diagram 1: Reverse Connect RDP over TCP port 443 (Diagram 1: Reverse Connect RDP over TCP port 443)

Bezpośrednia ścieżka rdp oparta na protokole UDP (przy użyciu usługi STUN)

Windows 365 używa również łączności RDP opartej na protokole UDP w celu zwiększenia wydajności, niezawodności i przepływności sesji. Po ustanowieniu sesji odwrotnego połączenia opartej na protokole TCP Windows 365 próbuje uaktualnić transport do protokołu UDP przy użyciu jednej z dwóch metod:

• Bezpośrednia ścieżka skrócona protokołu RDP: Ustanawia połączenie UDP jeden-do-jednego przy użyciu usługi STUN w celu ułatwienia.

• Przekaźnik rdp shortpath: Używa funkcji TURN do przekazywania ruchu UDP za pośrednictwem znanego adresu IP i portu.

Jak działa bezpośredni skrót UDP

1. Początkowe połączenie TCP: Sesja PROTOKOŁU RDP rozpoczyna się od transportu opartego na protokole TCP połączenia zwrotnego za pośrednictwem bramy zgodnie z opisem w tym dokumencie.

2. Tworzenie gniazda UDP: Jeśli protokół RDP Shortpath jest włączony na komputerze w chmurze (domyślnie włączonym), usługa tworzy gniazda UDP na wszystkich realnych interfejsach sieciowych.

3. Odnajdywanie usługi STUN: Komputer w chmurze próbuje nawiązać połączenie z serwerem Windows 365 STUN na porcie UDP 3478. To tymczasowe połączenie identyfikuje zewnętrzny adres IP i port urządzenia NAT. Żaden ruch RDP nie jest kierowany przez serwer usługi STUN.

4. Kandyduj do wymiany: Komputer w chmurze udostępnia klientowi informacje o adresie IP i porcie kandydata za pośrednictwem ustanowionej sesji TCP. Klient wysyła również własną listę kandydatów.

5. Próba połączenia: Oba punkty końcowe próbują jednocześnie nawiązać bezpośrednie połączenie UDP. Ponieważ obie inicjują ruch wychodzący, ta metoda często odnosi sukcesy nawet za pośrednictwem restrykcyjnych zapór z obsługiwanym typem TRANSLATOR.

6. Ocena transportu: Jeśli połączenie bezpośrednie zakończy się pomyślnie i zostanie uznane za najszybszą ścieżkę, wszystkie dynamiczne kanały wirtualne, takie jak grafika, dane wejściowe i przekierowanie urządzenia, przełącz się do nowego transportu UDP.

7. Przejdź do turnusu: Jeśli łączność oparta na usłudze STUN nie jest możliwa do ustanowienia, system próbuje nawiązać połączenie z serwerami TURN na porcie UDP 3478. Umożliwia to przekazywanie łączności UDP, która ma wyższy wskaźnik sukcesu w różnych warunkach sieciowych ze względu na możliwość pracy na dowolnym typie TRANSLATOR I znanej podsieci IP & porcie.

Diagram 2: Łączność RDP z protokołem RDP Shortpath przy użyciu usługi STUN

Znane wyzwania związane z bezpośrednią ścieżką rdp (przy użyciu usługi STUN)

Bezpośrednia ścieżka rdp shortpath opiera się na usłudze STUN w celu ustanowienia połączenia UDP jeden-do-jednego. Chociaż ta metoda oferuje znaczące korzyści wydajności w stosunku do łączności RDP opartej na protokole TCP, może nie powieść się w niektórych środowiskach sieciowych z powodu ograniczeń zachowania translatora adresów sieciowych i konfiguracji zapory. Aby ten model łączności zakończył się pomyślnie, typ translatora adresów sieciowych w sieciach urządzenia fizycznego i komputer z chmurą muszą być obsługiwane.

Często trudno jest również zidentyfikować adresy IP wymagane dla tego typu łączności z wyprzedzeniem, na przykład podczas konfigurowania pomijania sieci VPN lub bezpiecznej bramy sieci Web (SWG) dla użytkowników zdalnych.

Scenariusze, w których bezpośredni skrót protokołu RDP może zakończyć się niepowodzeniem

Łączność bezpośrednia może nie działać w następujących warunkach, z których wiele jest powszechnych w sieciach przedsiębiorstwa:

• Podwójny translator adresów adresowych: Na przykład ruch kierowany przez bezpieczną bramę sieci Web (SWG) lub serwer proxy stosuje tłumaczenie adresów sieciowych (NAT) dwa razy, raz na Azure ruchu wychodzącego i ponownie w punkcie końcowym sieci VPN lub SWG.

• Internetowe serwery proxy lub urządzenia inspekcji: Routing za pośrednictwem serwerów proxy lub urządzeń, które sprawdzają ruch, może zakłócać łączność opartą na usłudze STUN. Obejście tych urządzeń może być trudne z powodu braku wcześniejszej wiedzy na temat informacji o adresach IP translatora adresów sieciowych.

• Symetryczny translator adresów danych: Typowe w sieciach przedsiębiorstwa symetryczny translator adresów sieciowych po stronie komputera w chmurze lub klienta uniemożliwia pomyślne negocjacje usługi STUN. Azure brama TRANSLATOR używa tego typu translatora adresów sieciowych, podobnie jak wiele innych typowych urządzeń NAT w przedsiębiorstwie.

• Ograniczony dostęp UDP: Sieci, które blokują lub ograniczają ruch UDP lub ograniczają dostęp do określonych portów lub zakresów adresów IP, uniemożliwiają bezpośrednią łączność i są powszechne w sieciach przedsiębiorstwa. Obejście tego ograniczenia jest trudne ze względu na brak wcześniejszej wiedzy na temat portów i adresów IP używanych na potrzeby połączenia.

• Nośna klasa NAT (CGN): Jeśli wiele sieci współużytkuje publiczny adres IP, usługa STUN nie może ustanowić unikatowej ścieżki.

Ze względu na te ograniczenia należy traktować tę metodę jako podejście do najlepszego wysiłku i unikać inwestowania znacznego nakładu pracy w jej działanie. Zamiast tego należy określić priorytet optymalizacji przekazywanej UDP za pośrednictwem funkcji TURN, która działa niezawodnie w prawie wszystkich warunkach sieciowych.

Dowiedz się więcej na temat ścieżki krótkiej protokołu RDP tutaj.

Korzystanie z przekaźnika protokołu RDP Shortpath

Ze względu na te ograniczenia bezpośrednia ścieżka rdp shortpath jest modelem łączności o najlepszym wysiłku. Jeśli nie można go ustanowić, Windows 365 automatycznie powraca do skróconej ścieżki protokołu RDP przekaźnikowej, która korzysta z serwerów TURN i ma znacznie wyższy wskaźnik powodzenia. Ta metoda działa niezawodnie, ponieważ wymagania dotyczące podsieci i portów dla ruchu wychodzącego są znane z wyprzedzeniem i dlatego można je otworzyć i łatwo zoptymalizować.

Skrót RDP oparty na protokole RDP oparty na protokole UDP (przy użyciu funkcji TURN)

Przekaźnik RDP Shortpath zapewnia niezawodną metodę łączności RDP opartej na protokole UDP, gdy bezpośrednia ścieżka krótka nie jest możliwa. Ta metoda używa globalnie rozproszonych serwerów TURN w infrastrukturze firmy Microsoft do przekazywania ruchu RDP między klientem a komputerem w chmurze. Ten model łączności działa automatycznie i nie wymaga żadnej konfiguracji innej niż optymalizacja wymaganego ruchu. Ważne jest, aby ta metoda łączności była konfigurowana i optymalizowana w środowiskach sieciowych.

Kluczowe korzyści

• Pomija ograniczenia translatora adresów nat: W przeciwieństwie do bezpośrednich połączeń opartych na usłudze STUN na przekaźniki TURN nie mają wpływu ograniczenia podwójnego translatora adresów sieciowych, symetrycznego translatora adresów sieciowych ani zapory.

• Zasięg globalny: Serwery TURN są wdrażane w ponad 47 regionach na całym świecie, co umożliwia przekazywanie ruchu przez lokalizację blisko użytkownika w celu uzyskania optymalnej wydajności.

• Przewidywalna konfiguracja: Ruch przekaźnikowy używa znanych podsieci IP i portów, umożliwiając optymalizację zapory i sieci, w tym serwera proxy, bezpiecznej bramy sieci Web (SWG) i obejścia sieci VPN.

Jak działa przekaźnik protokołu RDP Shortpath

• Odwrotne połączenie oparte na protokole TCP: Sesja PROTOKOŁU RDP rozpoczyna się za pośrednictwem portu TCP 443 przy użyciu metody Reverse Connect.

• Bezpośrednia próba ścieżki krótkiej protokołu RDP: System próbuje ustanowić bezpośrednie połączenie UDP przy użyciu usługi STUN.

• Konfigurowanie łączności TURN: Jeśli łączność bezpośrednia zakończy się niepowodzeniem, zarówno klient, jak i komputer w chmurze spróbują nawiązać połączenia wychodzące z infrastrukturą TURN na porcie UDP 3478, w szczególności przeznaczone dla dedykowanej podsieci 51.5.0.0/16.

• Ocena transportu: Jeśli połączenie przekazywane zakończy się pomyślnie i zostanie uznane za najszybszą ścieżkę, wszystkie dynamiczne kanały wirtualne, takie jak grafika, dane wejściowe i przekierowanie urządzenia, przełącz się na nowy transport.

• Trwałość protokołu TCP: Jeśli metoda UDP nie powiedzie się, sesja RDP będzie kontynuowana przez istniejące połączenie TCP.

• Wielościeżkowe rdp: W przypadku wielu połączeń UDP protokołu RDP są ustanawiane, aby umożliwić bezproblemową ciągłą łączność, jeśli występują problemy w aktywnej ścieżce.

Diagram 3. Wszystkie opcje publicznego protokołu RDP

Łączność RDP sieci prywatnej

Skrót protokołu RDP dla sieci zarządzanych

Windows 365 obsługuje czwartą metodę łączności RDP dla zarządzanych sieci prywatnych. Ta opcja jest dostępna tylko w określonych scenariuszach wdrażania i oferuje bezpośrednią łączność UDP między urządzeniem klienckim a komputerem w chmurze.

Warunki dostępności

Skrót protokołu RDP dla sieci zarządzanych jest obsługiwany tylko wtedy, gdy:

• Wdrożenie używa Azure połączenia sieciowego (ANC). Ta metoda łączności nie jest dostępna w przypadku wdrożeń sieciowych hostowanych przez firmę Microsoft.

• Między urządzeniem fizycznym a komputerem w chmurze istnieje bezpośrednia linia wzroku za pośrednictwem usługi ExpressRoute lub sieci VPN typu lokacja-lokacja.

• Ścieżka sieciowa umożliwia pomyślne przechodzenie ruchu. Reguły zapory muszą zezwalać na wymagane porty, protokoły i zakresy adresów IP.

Metody połączenia

Tę łączność można ustanowić na jeden z dwóch sposobów:

1. Odbiornik ścieżki krótkiej protokołu RDP: Po skonfigurowaniu komputer w chmurze nasłuchuje połączeń przychodzących na porcie UDP 3390.

2. Odnajdywanie ICE/STUN: Jeśli metoda odbiornika nie jest opłacalna, usługa ICE/STUN służy do odnajdywania dostępnych adresów IP i negocjowania portu dynamicznego. Zakres portów można skonfigurować w razie potrzeby.

Po pomyślnym nawiązaniu połączenia UDP ścieżka publiczna oparta na protokole TCP zostanie usunięta, a sesja będzie kontynuowana przez sieć prywatną.

Aby uzyskać więcej szczegółów, zobacz Dokumentacja protokołu RDP Shortpath dla sieci prywatnych

Diagram 4: Ścieżka krótka protokołu RDP dla sieci prywatnych

Wielościeżkowe rdp

RdP Multipath to innowacyjne ulepszenie łączności dla Windows 365, które zwiększa niezawodność i wydajność sesji dzięki inteligentnemu zarządzaniu wieloma ścieżkami sieciowymi. Bazuje na protokole RDP Shortpath i używa interaktywnego establishmentu łączności (ICE) do odnajdywania i oceniania wielu tras UDP w czasie rzeczywistym, w tym tych korzystających z protokołów STUN i TURN.

Ta funkcja gwarantuje, że jeśli aktywna ścieżka stanie się niestabilna lub zakończy się niepowodzeniem, system automatycznie przełączy się do ścieżki kopii zapasowej bez przerywania sesji użytkownika. Routing wielościeżkowe jest szczególnie korzystny w środowiskach o zmiennych warunkach sieciowych, co zapewnia płynniejsze i bardziej odporne środowisko pulpitu zdalnego.

Aby uzyskać szczegółowe informacje, odwiedź dokumentację rdp multipath.

Podsumowanie metody połączenia RDP

Poniższa tabela zawiera podsumowanie metod RDP dostępnych do bezpiecznego łączenia się z komputerem w chmurze.

Upewnij się, że na stronie Wymagania sieciowe znajdują się pełne wymagania dotyczące łączności.

Wykrywanie, który transport RDP jest używany.

Aby uzyskać więcej szczegółów na temat wykrywania metody transportu, która jest używana dla określonego połączenia, zobacz artykuł "Verify RDP Shortpath is working" (Weryfikowanie działania ścieżki krótkiej protokołu RDP)