Informatie over netwerkstromen - Extern bureaublad-protocol

Om optimale prestaties en betrouwbaarheid in uw Windows 365 implementatie te garanderen, is het belangrijk om de belangrijkste connectiviteitsvereisten te begrijpen. Deze vereisten vallen in drie hoofdcategorieën:

• Rdp-connectiviteit (Remote Desktop Protocol): geldt zowel voor de cloudomgeving als voor fysieke clientapparaten.

• Cloudserviceconnectiviteit : behandelt de netwerkvereisten van de cloud-pc zelf naar de service.

• Clientapparaatconnectiviteit : bevat de netwerkconfiguratie voor fysieke eindpunten die toegang hebben tot de service.

De juiste configuratie van elk connectiviteitselement is essentieel voor het leveren van een naadloze Windows 365 ervaring. Dit document is gericht op inzicht in de beschikbare RDP-connectiviteitsopties en hoe u deze kunt optimaliseren voor de hoogste prestatie- en betrouwbaarheidsniveaus.

RDP-connectiviteit

RDP-connectiviteit is een essentieel onderdeel van de Windows 365 ervaring. Het stelt gebruikers in staat om naadloos verbinding te maken met hun cloud-pc's en vereist een zorgvuldige netwerkconfiguratie om prestaties en betrouwbaarheid te garanderen.

Kenmerken van RDP-verkeer

RDP-verkeer heeft verschillende belangrijke elementen die speciale aandacht vereisen:

• Latentiegevoelig: RDP-verkeer moet met minimale vertraging worden geleverd. Hoewel RDP goed is in het verwerken van uitdagende netwerkomstandigheden, helpt het optimaliseren voor een zo laag mogelijke latentie een responsieve gebruikerservaring te behouden.

• Real-time: Net als bij mediaverkeer van Microsoft Teams is RDP-verkeer realtime. Elke vertraging kan de gebruikerssessie verstoren.

• Hoog volume: RDP-sessies kunnen aanzienlijke hoeveelheden verkeer genereren. Het efficiënt routeren van dit verkeer en het vermijden van dure bewerkingen, zoals TLS-inspectie, helpt de prestaties te behouden en overbelasting van netwerkapparaten te voorkomen.

• Langlevende: RDP-verbindingen blijven vaak gedurende langere perioden actief. Efficiënte routering vermindert de impact op apparaten die NAT (Network Address Translation) uitvoeren en ondersteunt schaalbaarheid.

Om een hoogwaardige gebruikerservaring te behouden, moet RDP-verkeer worden gerouteerd via het meest directe en efficiënte pad naar de wereldwijde infrastructuur van Microsoft. Het is essentieel om ervoor te zorgen dat onnodige inspectie, filters of omleidingen worden vermeden.

Traditionele RDP versus Windows 365 RDP

Windows 365 maakt gebruik van een gemoderniseerde versie van Remote Desktop Protocol (RDP), ontworpen voor cloudomgevingen en gebouwd om een veilige, naadloze ervaring te bieden in diverse netwerkomstandigheden. Deze moderne RDP verschilt aanzienlijk van de RDP die wordt gebruikt in traditionele extern bureaubladomgevingen.

Traditionele RDP

Traditionele RDP, vaak gebruikt in on-premises omgevingen, is afhankelijk van binnenkomende connectiviteit via TCP-poort 3389 (Transmission Control Protocol) om extern bureaublad-sessies tot stand te brengen. Deze benadering brengt beveiligingsuitdagingen met zich mee, omdat hiervoor binnenkomende poorten op de netwerkperimeter moeten worden geopend.

Moderne RDP in Windows 365

Windows 365 maakt gebruik van een moderne, cloud-first implementatie van RDP die aanzienlijk verschilt van traditionele modellen. Er is geen binnenkomende connectiviteit vereist en is afhankelijk van uitgaand verkeer via de volgende protocollen en poorten, die moeten werken in een correct geconfigureerd netwerk:

• TCP-poort 443

• UDP-poort 3478

Deze verbindingen worden tot stand gebracht vanaf zowel de cloud-pc als het clientapparaat met de wereldwijde connectiviteitsinfrastructuur van Microsoft. Andere RDP-verbindingsmethoden kunnen ook beschikbaar zijn, afhankelijk van de omgeving en worden ook beschreven in dit artikel.

Dit moderne RDP-model verbetert de beveiliging, vereenvoudigt de implementatie en ondersteunt betrouwbare externe weergave en invoer in verschillende netwerkomstandigheden.

RDP-connectiviteitsmethoden in Windows 365

Windows 365 ondersteunt meerdere RDP-connectiviteitsmethoden om betrouwbare prestaties te garanderen, zelfs in uitdagende netwerkomstandigheden. Deze methoden kunnen worden onderverdeeld in openbare en particuliere netwerkconnectiviteitsopties.

Openbare netwerkconnectiviteitsmethoden

Windows 365 ondersteunt de volgende openbare connectiviteitsopties. Deze methoden zijn de standaardinstelling voor de service:

• Reverse Connect op basis van TCP: Dit is de primaire methode voor alle verbindingen. Er wordt uitgaande RDP via TCP-poort 443 gebruikt om de sessie tot stand te brengen.

• Relayed UDP-gebaseerd RDP-shortpath: Deze methode maakt gebruik van uitgaande RDP via UDP-poort 3478 en maakt verbinding via de relay-infrastructuur van Microsoft voor betere mediaprestaties.

• RDP-shortpath op basis van UDP direct: Met deze optie wordt een directe, een-op-een-verbinding via UDP tot stand gebracht, waardoor de latentie wordt verminderd en de reactiesnelheid wordt verbeterd. Deze methode maakt gebruik van een STUN-server om een werkbaar direct connectiviteitspad te vinden tussen de gebruiker en hun cloud-pc

Private Network Connectivity-methode

1. UDP via privénetwerken beheren Hiermee schakelt u een-op-een-UDP-verbinding via een particulier netwerk in. Deze methode is alleen van toepassing op implementaties die gebruikmaken van Azure Netwerkverbinding (ANC). Deze methode kan technisch haalbaar zijn via VPN-koppelingen, maar is waarschijnlijk niet geselecteerd als transportoptie door Windows 365 vanwege lage prestaties.

RDP-connectiviteit voor openbaar netwerk

Reverse Connect op basis van TCP

Reverse Connect is de standaardmethode die wordt gebruikt voor RDP-verbindingen in Windows 365. Het initieert uitgaande connectiviteit via TCP-poort 443 en vereist geen listener aan de client- of cloud-pc-zijde. Deze benadering vereenvoudigt de implementatie en verbetert de beveiliging door het elimineren van de noodzaak van binnenkomende verbindingen en wordt gebruikt voor elke verbinding, ongeacht de uiteindelijke methode die wordt gebruikt.

Hoe Reverse Connect werkt

1. Installatie van RD-agent: Tijdens het inrichten wordt de RD-agent geïnstalleerd op de cloud-pc om de connectiviteit te beheren.

2. Permanente signaleringssessie: Bij het opstarten brengt de RD-agent een permanente, uitgaande TLS-versleutelde signaleringssessie tot stand naar de Windows 365-infrastructuur. Dit proces is automatisch en vereist geen handmatige configuratie.

3. Gebruikersaanmelding: Op het fysieke clientapparaat meldt de gebruiker zich aan met behulp van een ondersteunde client, zoals de Windows App.

4. Verificatie: Microsoft Entra ID verifieert de gebruiker en retourneert een token dat de beschikbare resources van de gebruiker opsomt.

5. Tokenvalidatie: De client geeft het token door aan de feedabonnementsservice, die het valideert.

6. Resource-inventarisatie: De service retourneert een lijst met beschikbare cloud-pc's voor de gebruiker in de vorm van digitaal ondertekende verbindingsconfiguraties.

7. Verbindingsconfiguratieopslag: De client slaat deze configuraties op als .rdp bestanden voor elke resource.

8. Verbindingsinitiatie: Wanneer de gebruiker een cloud-pc selecteert, maakt de client via een anycast-listener verbinding met Azure Front Door (AFD). Het dichtstbijzijnde AFD-knooppunt wordt automatisch geselecteerd op basis van uitgaand netwerk.

9. Gatewayselectie: AFD evalueert de latentie voor alle beschikbare gateways en selecteert de gateway met de laagste latentie en de minste actieve verbindingen.

10. Beveiligde gatewayverbinding: De client maakt verbinding met de geselecteerde gateway via een beveiligde TLS 1.3-verbinding. De gateway valideert de aanvraag en neemt contact op met de broker.

11. Broker-indeling: De broker identificeert de doelcloud-pc en gebruikt het bestaande signaleringskanaal om de sessie te starten.

12. Cloud-pc-verbinding: De Extern bureaublad-stack op de cloud-pc initieert een uitgaande TLS 1.3-verbinding met hetzelfde gateway-exemplaar.

13. Data Relay: Zodra beide eindpunten zijn verbonden, stuurt de gateway gegevens tussen hen door en vormt het basis reverse connect-transport met behulp van een geneste tunnel en de hoogst ondersteunde TLS-versie (maximaal TLS 1.3).

14. RDP-handshake De client begint de RDP-handshake om de sessie tot stand te brengen.

Diagram 1: RDP omgekeerd verbinden via TCP-poort 443

RdP-shortpath op basis van UDP direct (met behulp van STUN)

Windows 365 maakt ook gebruik van OP UDP gebaseerde RDP-connectiviteit om de prestaties, betrouwbaarheid en doorvoer van sessies te verbeteren. Zodra een tcp-gebaseerde Reverse Connect-sessie tot stand is gebracht, probeert Windows 365 het transport naar UDP te upgraden met behulp van een van de volgende twee methoden:

• Direct RDP Shortpath: Hiermee wordt een een-op-een UDP-verbinding tot stand gebracht met behulp van STUN om dit te vergemakkelijken.

• Relayed RDP Shortpath: Maakt gebruik van TURN om UDP-verkeer door te sturen via een bekend IP-adres en poort.

Hoe direct UDP-shortpath werkt

1. Initiële TCP-verbinding: De RDP-sessie begint via een tcp-gebaseerd Reverse Connect-transport via de gateway, zoals beschreven in dit document.

2. UDP-socket maken: Als RDP Shortpath is ingeschakeld op de cloud-pc (standaard ingeschakeld), maakt de service UDP-sockets op alle levensvatbare netwerkinterfaces.

3. STUN-detectie: De cloud-pc probeert verbinding te maken met een Windows 365 STUN-server op UDP-poort 3478. Deze tijdelijke verbinding identificeert het externe IP-adres en de poort van het NAT-apparaat. Er wordt geen RDP-verkeer gerouteerd via de STUN-server.

4. Kandidaat-uitwisseling: De cloud-pc deelt zijn kandidaat-IP- en poortgegevens met de client via de tot stand gebrachte TCP-sessie. De client verzendt ook een eigen lijst met kandidaten.

5. Verbindingspoging: Beide eindpunten proberen tegelijkertijd een directe UDP-verbinding tot stand te brengen. Omdat beide uitgaand verkeer initiëren, slaagt deze methode vaak zelfs via beperkende firewalls met een ondersteund NAT-type.

6. Transportevaluatie: Als de directe verbinding is geslaagd en als het snelste pad wordt bepaald, schakelen alle dynamische virtuele kanalen, zoals afbeeldingen, invoer en apparaatomleiding, over naar het nieuwe UDP-transport.

7. Verplaatsen naar TURN: Als er geen STUN-connectiviteit tot stand kan worden gebracht, probeert het systeem verbinding te maken met TURN-servers op UDP-poort 3478. Dit maakt relayed UDP-connectiviteit mogelijk, die een hoger slagingspercentage heeft in verschillende netwerkomstandigheden vanwege de mogelijkheid om te werken op elk NAT-type en bekend IP-subnet & poort.

Diagram 2: RDP-connectiviteit met RDP Shortpath met behulp van STUN

Bekende uitdagingen met Direct RDP Shortpath (met behulp van STUN)

Direct RDP Shortpath is afhankelijk van STUN om een een-op-een UDP-verbinding tot stand te brengen. Hoewel deze methode aanzienlijke prestatievoordelen biedt ten opzichte van TCP-gebaseerde RDP-connectiviteit, slaagt deze mogelijk niet in bepaalde netwerkomgevingen vanwege beperkingen in NAT-gedrag en firewallconfiguraties. Dit connectiviteitsmodel is alleen succesvol als het NAT-type op de netwerken van zowel het fysieke apparaat als de cloud-pc van een ondersteund type is.

Het is ook vaak lastig om de IP-adressen te identificeren die vereist zijn voor dit type connectiviteit, zoals bij het configureren van een VPN- of SWG-bypass (Secure Web Gateway) voor externe gebruikers.

Scenario's waarin direct RDP-shortpath kan mislukken

Directe connectiviteit werkt mogelijk niet onder de volgende omstandigheden, waarvan er veel voorkomen in bedrijfsnetwerken:

• Dubbele NAT: Verkeer dat wordt gerouteerd via een SWG (Secure Web Gateway) of proxy past bijvoorbeeld twee keer NAT (Network Address Translation) toe, eenmaal op Azure uitgaand verkeer en opnieuw op het VPN- of SWG-eindpunt.

• Internetproxy's of inspectieapparaten: Routering via proxy's of apparaten die verkeer inspecteren, kan de STUN-connectiviteit verstoren. Het omzeilen van deze apparaten kan moeilijk zijn vanwege een gebrek aan voorafgaande kennis van NAT IP-informatie.

• Symmetrische NAT: Symmetrische NAT aan de cloud-pc of clientzijde is gebruikelijk in bedrijfsnetwerken en voorkomt succesvolle STUN-onderhandeling. Azure NAT-gateway gebruikt dit NAT-type, net als veel andere algemene BEDRIJFS-NAT-apparaten.

• Beperkte UDP-toegang: Netwerken die UDP-verkeer blokkeren of beperken, of de toegang tot specifieke poorten of IP-bereiken beperken, voorkomen directe connectiviteit en zijn gebruikelijk in bedrijfsnetwerken. Deze beperking is moeilijk te omzeilen vanwege het gebrek aan voorkennis van de poorten en IP-adressen die voor de verbinding worden gebruikt.

• Carrier Grade NAT (CGN): Wanneer meerdere netwerken een openbaar IP-adres delen, kan STUN geen uniek pad tot stand brengen.

Als gevolg van deze beperkingen moet u deze methode behandelen als een best-effort-benadering en voorkomen dat u veel moeite doet om deze te laten werken. Geef in plaats daarvan prioriteit aan het optimaliseren van relayed UDP via TURN, dat betrouwbaar werkt in bijna alle netwerkomstandigheden.

Meer informatie over RDP-shortpath vindt u hier.

Gebruik van relayed RDP Shortpath

Vanwege deze beperkingen is Direct RDP Shortpath een best-effort-connectiviteitsmodel. Als dit niet tot stand kan worden gebracht, keert Windows 365 automatisch terug naar Relayed RDP Shortpath, dat gebruikmaakt van TURN-servers en een aanzienlijk hoger slagingspercentage heeft. Deze methode werkt betrouwbaar omdat de subnet- en poortvereisten voor uitgaand verkeer van tevoren bekend zijn en daarom kunnen worden geopend en eenvoudig kunnen worden geoptimaliseerd.

Relayed UDP-rdp-shortpath (met turn)

Relayed RDP Shortpath biedt een betrouwbare methode voor op UDP gebaseerde RDP-connectiviteit wanneer direct Shortpath niet mogelijk is. Deze methode maakt gebruik van wereldwijd gedistribueerde TURN-servers binnen de infrastructuur van Microsoft om RDP-verkeer tussen de client en cloud-pc door te sturen. Dit connectiviteitsmodel werkt automatisch en vereist geen andere configuratie dan optimalisatie van het vereiste verkeer. Het is essentieel dat deze connectiviteitsmethode wordt geconfigureerd en geoptimaliseerd binnen uw netwerkomgevingen.

Belangrijkste voordelen

• NAT-beperkingen omzeilen: In tegenstelling tot op STUN gebaseerde directe verbindingen worden TURN-relays niet beïnvloed door dubbele NAT-, symmetrische NAT- of firewallbeperkingen.

• Wereldwijd bereik: TURN-servers worden geïmplementeerd in meer dan 47 regio's wereldwijd, zodat verkeer kan worden doorgegeven via een locatie dicht bij de gebruiker voor optimale prestaties.

• Voorspelbare configuratie: Doorgegeven verkeer maakt gebruik van bekende IP-subnetten en -poorten, waardoor firewall- en netwerkoptimalisatie mogelijk is, waaronder proxy, Secure Web Gateway (SWG) en VPN-bypass.

Hoe relayed RDP Shortpath werkt

• Reverse Connect op basis van TCP: De RDP-sessie begint via TCP-poort 443 met behulp van de methode Reverse Connect.

• Directe RDP-kortpadpoging: Het systeem probeert een directe UDP-verbinding tot stand te brengen met behulp van STUN.

• TURN-connectiviteit configureren: Als de directe connectiviteit mislukt, proberen zowel de client als de cloud-pc uitgaande verbindingen met de TURN-infrastructuur op UDP-poort 3478 uit te voeren, specifiek gericht op het toegewezen 51.5.0.0/16-subnet.

• Transportevaluatie: Als de doorgegeven verbinding is geslaagd en als het snelste pad wordt bepaald, schakelen alle dynamische virtuele kanalen, zoals afbeeldingen, invoer en apparaatomleiding, over op het nieuwe transport.

• TCP-persistentie: Als geen UDP-methode slaagt, gaat de RDP-sessie verder via de bestaande TCP-verbinding.

• RDP Multipath: Met RDP Multipath worden meerdere UDP-verbindingen tot stand gebracht om naadloze continue connectiviteit mogelijk te maken als er problemen optreden op het actieve pad.

Diagram 3: Alle openbare RDP-opties

RDP-connectiviteit van privénetwerk

RDP Shortpath voor beheerde netwerken

Windows 365 ondersteunt een vierde RDP-connectiviteitsmethode voor beheerde, privénetwerken. Deze optie is alleen beschikbaar in specifieke implementatiescenario's en biedt directe UDP-connectiviteit tussen het clientapparaat en de cloud-pc.

Beschikbaarheidsvoorwaarden

RDP Shortpath voor beheerde netwerken wordt alleen ondersteund wanneer:

• De implementatie maakt gebruik van Azure-netwerkverbinding (ANC). Deze verbindingsmethode is niet beschikbaar voor door Microsoft gehoste netwerkimplementaties.

• Er is een directe gezichtslijn tussen het fysieke apparaat en de cloud-pc, via ExpressRoute of site-naar-site-VPN.

• Het netwerkpad zorgt ervoor dat verkeer met succes kan worden doorkruist. Firewallregels moeten de vereiste poorten, protocollen en IP-bereiken toestaan.

Verbindingsmethoden

Deze connectiviteit kan op twee manieren tot stand worden gebracht:

1. RDP Shortpath Listener: Wanneer de cloud-pc is geconfigureerd, luistert de cloud-pc op UDP-poort 3390 naar binnenkomende verbindingen.

2. ICE/STUN Discovery: Als de listenermethode niet levensvatbaar is, wordt ICE/STUN gebruikt om beschikbare IP-adressen te detecteren en te onderhandelen over een dynamische poort. Het poortbereik kan indien nodig worden geconfigureerd.

Zodra de UDP-verbinding tot stand is gebracht, wordt het openbare TCP-pad verwijderd en gaat de sessie verder via het privénetwerk.

Zie documentatie over RDP-shortpath voor privénetwerken voor meer informatie

Diagram 4: RDP-shortpad voor privénetwerken

RDP Multipath

RDP Multipath is een innovatieve connectiviteitsverbetering voor Windows 365 die de betrouwbaarheid en prestaties van sessies verbetert door meerdere netwerkpaden op intelligente wijze te beheren. Het bouwt voort op RDP Shortpath en maakt gebruik van Interactive Connectivity Establishment (ICE) om meerdere UDP-routes in realtime te detecteren en te evalueren, inclusief routes met behulp van STUN- en TURN-protocollen.

Deze functie zorgt ervoor dat als het actieve pad instabiel wordt of mislukt, het systeem automatisch overschakelt naar een back-uppad, zonder de gebruikerssessie te onderbreken. Routering met meerdere paden is vooral nuttig in omgevingen met fluctuerende netwerkomstandigheden en biedt een soepelere en tolerantere extern bureaublad-ervaring.

Ga naar de rdp-documentatie voor meerdere paden voor meer informatie.

Samenvatting van rdp-verbindingsmethode

De volgende tabel bevat een overzicht van de RDP-methoden die beschikbaar zijn om veilig verbinding te maken met uw cloud-pc.

Controleer de pagina Netwerkvereisten voor de volledige connectiviteitsvereisten.

Detecteren welk RDP-transport wordt gebruikt.

Zie het artikel 'Controleren of RDP Shortpath werkt' voor meer informatie over het detecteren van de transportmethode die wordt gebruikt voor een bepaalde verbinding