תרחישים נפוצים של מנהרות פיצול VPN עבור Microsoft 365

מאמר
12/20/2023

הערה

מאמר זה מהווה חלק מקבוצת מאמרים השולחים מיטוב של Microsoft 365 למשתמשים מרוחקים.

לקבלת מבט כולל על השימוש במנהרה מפוצלת של VPN כדי למטב את הקישוריות של Microsoft 365 עבור משתמשים מרוחקים, ראה מבט כולל: מנהור פיצול של VPN עבור Microsoft 365.
לקבלת הדרכה מפורטת לגבי הטמעת מנהרה מפוצלת של VPN, ראה הטמעת מנהרה מפוצלת של VPN עבור Microsoft 365.
לקבלת הדרכה בנושא אבטחת תעבורת מדיה של Teams בסביבות מנהרה מפוצלות של VPN, ראה אבטחת תעבורת מדיה של Teams עבור מנהרה מפוצלת של VPN.
לקבלת מידע אודות אופן קביעת התצורה של Stream ואירועים בשידור חי בסביבות VPN, ראה שיקולים מיוחדים עבור Stream ואירועים בשידור חי בסביבות VPN.
לקבלת מידע אודות מיטוב ביצועי דיירים של Microsoft 365 ברחבי העולם עבור משתמשים בסין, ראה מיטוב הביצועים של Microsoft 365 עבור משתמשי סין.

ברשימה שלהלן, תראה את תרחישי ה- VPN הנפוצים ביותר שנכללים בסביבות ארגוניות. רוב הלקוחות מפעילים באופן מסורתי מודל 1 (מנהרת VPN כפויה). סעיף זה יעזור לך לעבור במהירות בבטחה למודל 2, שניתן להשיגו במאמץ מועט יחסית, ויש לו יתרונות עצומים לביצועי הרשת ולחוויה של המשתמש.

מודל	תיאור
1. VPN כפייה מנהרה	100% מהתעבורה נכנסת למנהרת VPN, כולל באופן מקומי, אינטרנט וכל O365/M365
2. מנהרה שנכפתה על-ידי VPN עם מעט חריגים	מנהרת VPN משמשת כברירת מחדל (נקודות נתיב המוגדרות כברירת מחדל ל- VPN), עם תרחישים פטורים מעטים, החשובים ביותר המורשים לעבור ישירות
3. VPN נאלץ מנהרה עם חריגים רחבים	מנהרת VPN משמשת כברירת מחדל (נתיב ברירת המחדל מצביע על VPN), עם חריגות רחבות המורשות לעבור ישירות (כגון כל Microsoft 365, All Salesforce, All Zoom)
4. מנהרה סלקטיבית של VPN	מנהרת VPN משמשת רק עבור שירותים מבוססי-corpnet. נתיב ברירת המחדל (אינטרנט וכל השירותים מבוססי האינטרנט) עובר ישירות.
5. ללא VPN	וריאציה של #2. במקום VPN מדור קודם, כל שירותי ה- corpnet מתפרסמת באמצעות גישות אבטחה מודרניות (כגון Zscaler ZPA, Microsoft Entra ID Proxy/MCAS וכולי)

1. VPN כפייה מנהרה

תרחיש ההתחלה הנפוץ ביותר עבור רוב הלקוחות הארגוניים. נעשה שימוש ב- VPN כפוי, כלומר 100% מהתעבורה מופנה לרשת החברה, בין אם נקודת הקצה שוכנת בתוך רשת החברה או לא. כל תעבורה חיצונית (אינטרנט) מאוגדת, כגון Microsoft 365 או גלישה באינטרנט, מוצמדת באופן שיער בחזרה אל מחוץ לציוד האבטחה המקומי, כגון שרתי Proxy. האקלים הנוכחי עם כמעט 100% מהמשתמשים שעובדים מרחוק, לכן מודל זה מציב עומס גבוה על תשתית ה- VPN ו קרוב למידה משמעותית יעציב את הביצועים של כל התעבורה הארגונית ולכן הארגון יפעל ביעילות בעת משבר.

VPN כפייה מנהרה מודל 1.

2. מנהרה שנכפתה על-ידי VPN עם מספר קטן של חריגים מהימנים

יעיל יותר באופן משמעותי לפעול תחת הארגון. מודל זה מאפשר לכמה נקודות קצה מבוקרות ומוגדרות שרגישות לטעינה והשהיה גבוהה לעקוף את מנהרת ה- VPN ולנתב את שירות Microsoft 365. פעולה זו משפרת באופן משמעותי את הביצועים עבור השירותים שנטענו, וגם מפחיתה את העומס על תשתית ה- VPN, ובכך מאפשרת לרכיבים שעדיין מחייבים אותה לפעול עם התסבות נמוכה יותר עבור משאבים. זהו מודל שמאמר זה מתרכז בסיוע במעבר אל כפי שהוא מאפשר לבצע פעולות פשוטות ווגדרו במהירות עם תוצאות חיוביות רבות.

פצל מודל VPN של מנהרה 2.

3. VPN נאלץ מנהרה עם חריגים רחבים

מרחיב את הטווח של דגם 2. במקום לשלוח קבוצה קטנה של נקודות קצה מוגדרות ישירות, במקום זאת היא שולחת את כל התעבורה ישירות לשירותים מהימנים כגון Microsoft 365 ו- SalesForce. פעולה זו מפחיתה עוד יותר את העומס על תשתית ה- VPN הארגונית ומשפרת את ביצועי השירותים המוגדרים. מאחר שמודל זה עשוי להימשך זמן רב יותר כדי להעריך את מידת התאימות וההטמעה שלו, ככל להניח שזהו שלב שניתן לבצע איטרטיביות במועד מאוחר יותר, לאחר שמודל 2 יתמקם בהצלחה.

פצל מנהרה מודל VPN 3.

4. מנהרה סלקטיבית של VPN

היפוך המודל השלישי בכך שרק תעבורה המזוהה כבעלת כתובת IP ארגונית נשלחת במורד מנהרת ה- VPN ולכן נתיב האינטרנט הוא נתיב ברירת המחדל עבור כל דבר אחר. מודל זה דורש שארגון יהיה בנתיב להטמעה אפס אמון ליישם מודל זה בבטחה. יצוין כי מודל זה או וריאציה מסוימת שלו עשויים להפוך לברירת המחדל הדרושה לאורך זמן ככל שהשירותים נוספים יתרחקו מרשת החברה ובענן.

Microsoft משתמשת במודל זה באופן פנימי. תוכל למצוא מידע נוסף על יישום מנהרת פיצול ה- VPN של Microsoft בהפעלה ב- VPN: כיצד Microsoft שומרת על כוח העבודה המרוחק שלה מחובר.

פצל דגם VPN של מנהרה 4.

5. ללא VPN

גירסה מתקדמת יותר של דגם מספר 2, לפיה כל השירותים הפנימיים מתפרסמת באמצעות גישה מודרנית לאבטחה או פתרון SDWAN כגון שרת Proxy של מזהה Microsoft Entra, Defender for Cloud Apps, Zscaler ZPA וכן הלאה.

פצל מנהרה מודל VPN 5.