Azure Virtual Desktop の RDP Shortpath

  • [アーティクル]

重要

Azure Virtual Desktop 用の TURN でのパブリック ネットワークの RDP Shortpath の使用は、現在プレビュー段階です。 ベータ版、プレビュー版、または一般提供としてまだリリースされていない Azure の機能に適用される法律条項については、「Microsoft Azure プレビューの追加使用条件」を参照してください。

Azure Virtual Desktop への接続では、伝送制御プロトコル (TCP) またはユーザー データグラム プロトコル (UDP) が使用されます。 RDP Shortpath は、サポートされる Windows リモート デスクトップ クライアントとセッション ホストとの間に直接的な UDP ベースのトランスポートを確立する Azure Virtual Desktop の機能です。 既定では、リモート デスクトップ プロトコル (RDP) は UDP を使って接続の確立を試み、フォールバック接続メカニズムとして TCP ベースのリバース接続トランスポートを使います。 TCP ベースのリバース接続トランスポートでは、さまざまなネットワーク構成との最適な互換性が提供され、RDP 接続の確立が成功する確率が高くなります。 UDP ベースのトランスポートにより、接続の信頼性と待ち時間の一貫性が向上します。

RDP Shortpath は、次の 2 つの方法で使用できます。

  1. マネージド ネットワーク: 仮想プライベート ネットワーク (VPN) などのプライベート接続を使用するときに、クライアントとセッション ホストの間で直接接続が確立されます。

  2. 公衆ネットワーク: パブリック接続を使うと、クライアントとセッション ホストの間で直接接続が確立されます。 パブリック接続には 2 つの種類があり、以下ではそれを優先順に示します。

    1. クライアントとセッション ホストの間で Simple Traversal Underneath NAT (STUN) プロトコルを使用する "直接" UDP 接続。

    2. クライアントとセッション ホストの間で Traversal Using Relay NAT (TURN) プロトコルとリレーを使用する "間接" UDP 接続。 これはプレビュー段階です。

RDP Shortpath に使用されるトランスポートは、Universal Rate Control Protocol (URCP) に基づいています。 URCP では、ネットワークの状態をアクティブに監視することで UDP を強化し、公平で完全なリンク使用率を実現します。 URCP は、必要に応じて低遅延および低損失レベルで動作します。

重要

  • プレビュー期間中、TURN は検証ホスト プール内のセッション ホストへの接続にのみ使用できます。 ホスト プールを検証環境として構成するには、検証環境としてホスト プールを定義する方法に関する記事を参照してください。

  • TURN を使用したパブリック ネットワーク用 RDP Shortpath は、Azure パブリック クラウドでのみ使用できます。

主な利点

RDP Shortpath を使用することには、次の主な利点があります。

  • URCP を使用して UDP を拡張すると、ネットワーク パラメーターを動的に学習し、レート制御メカニズムを備えたプロトコルを提供することにより、最高のパフォーマンスが達成されます。

  • 余分なリレー ポイントを削除することでラウンド トリップ時間が短縮され、待機時間の影響を受けやすいアプリケーションと入力方式で接続の信頼性とユーザー エクスペリエンスが向上します。

  • さらに、マネージド ネットワークの場合:

    • RDP Shortpath を使用すると、DSCP (Differentiated Services Code Point) マークを使用した RDP 接続に対するサービスの品質 (QoS) 優先度の構成がサポートされます。

    • RDP Shortpath トランスポートを使用して、各セッションのスロットル率を指定することで、送信ネットワーク トラフィックを制限することができます。

RDP Shortpath の仕組み

マネージド ネットワークと公衆ネットワークでの RDP Shortpath の仕組みを確認するには、次の各タブを選択します。

マネージド ネットワークで RDP Shortpath を使用するために必要な直接通信経路接続を実現するには、次の方法を使用できます。

直接通信経路接続を持つことは、クライアントがファイアウォールにブロックされることなく、セッション ホストに直接接続できることを意味します。

注意

他の VPN の種類を使用して Azure に接続する場合は、UDP ベースの VPN を使用することをお勧めします。 ほとんどの TCP ベースの VPN ソリューションでは、入れ子になった UDP がサポートされていますが、TCP 輻輳制御の継承されたオーバーヘッドが追加されるため、RDP のパフォーマンスが低下します。

マネージド ネットワークに RDP Shortpath を使用するには、セッション ホストで UDP リスナーを有効にする必要があります。 既定では、ポート 3390 が使用されますが、別のポートを使用することもできます。

次の図は、マネージド ネットワーク用 RDP Shortpath と Active Directory ドメインに参加しているセッション ホストを使用するときのネットワーク接続のおおまかな概要を示しています。

Diagram of network connections when using RDP Shortpath for managed networks.

接続シーケンス

すべての接続は、Azure Virtual Desktop ゲートウェイ経由で TCP ベースの逆方向接続トランスポートを確立することによって開始されます。 その後、クライアントとセッション ホストで最初の RDP トランスポートが確立され、それらの機能の交換が開始されます。 これらの機能は、次のプロセスを使用してネゴシエートされます。

  1. セッション ホストにより、IPv4 と IPv6 のアドレスの一覧がクライアントに送信されます。

  2. クライアントでは、バックグラウンド スレッドが開始され、セッション ホストの IP アドレスの 1 つに対して、UDP ベースの並列トランスポートが直接確立されます。

  3. クライアントでは、指定された IP アドレスを調査している間、逆方向接続トランスポートを介して初期接続の確立を続行し、ユーザー接続の遅延が発生しないようにします。

  4. クライアントにセッション ホストへの直接接続がある場合は、クライアントによって信頼性の高い UDP 経由の TLS を使用した安全な接続が確立されます。

  5. RDP Shortpath トランスポートを確立すると、リモート グラフィックス、入力、デバイス リダイレクトを含むすべての動的仮想チャネル (DVC) が新しいトランスポートに移動されます。 ただし、ファイアウォールまたはネットワーク トポロジにより、クライアントで直接 UDP 接続を確立できない場合、RDP では逆方向接続トランスポートを続行します。

ユーザーがマネージド ネットワーク用とパブリック ネットワーク用の RDP Shortpath の両方を使用できる場合は、最初に見つかったアルゴリズムが使用されます。 ユーザーは、そのセッションのために最初に確立された接続を使用します。

接続のセキュリティ

RDP Shortpath により、RDP マルチトランスポート機能が拡張されます。 逆方向接続トランスポートは置き換えられませんが、補完されます。 初期セッション ブローカーは、Azure Virtual Desktop サービスと逆方向接続トランスポートを介して管理されます。 最初に逆方向接続セッションと一致しない限り、接続試行はすべて無視されます。 認証後に RDP Shortpath が確立され、正常に確立された場合、逆方向接続トランスポートがドロップされ、すべてのトラフィックが RDP Shortpath 経由で流れます。

RDP Shortpath では、セッション ホストの証明書を使用して、クライアントとセッション ホスト間で信頼性の高い UDP 経由の TSL を使用したセキュリティ保護された接続を使用します。 既定では、RDP 暗号化に使用される証明書は、デプロイ中にオペレーティング システムによって自己生成されます。 企業の証明機関によって発行され、一元管理された証明書をデプロイすることもできます。 証明書の構成の詳細については、「リモート デスクトップ リスナー証明書の構成」を参照してください。

注意

RDP Shortpath によって提供されるセキュリティは、TCP 逆方向接続トランスポートによって提供されるものと同じです。

シナリオの例

さまざまなネットワーク トポロジ間で RDP Shortpath が使用されているかどうかを判断するために接続を評価する方法を示すシナリオ例を、以下に示します。

シナリオ 1

UDP 接続は、公衆ネットワーク (インターネット) 経由で、クライアント デバイスとセッション ホストの間でのみ確立できます。 VPN などの直接接続は使用できません。 UDP は、ファイアウォールまたは NAT デバイスを介して許可されます。

Diagram that shows RDP Shortpath for public networks uses STUN.

シナリオ 2

ファイアウォールまたは NAT デバイスによって直接 UDP 接続がブロックされていますが、パブリック ネットワーク (インターネット) 経由でクライアント デバイスとセッション ホストの間で TURN を使用して間接 UDP 接続を中継できます。 VPN などの別の直接接続は使用できません。

Diagram that shows RDP Shortpath for public networks uses TURN.

シナリオ 3

UDP 接続は、公衆ネットワークまたは直接 VPN 接続を介して、クライアント デバイスとセッション ホストの間で確立できますが、マネージド ネットワーク用 RDP Shortpath は有効になっていません。 クライアントが接続を開始すると、ICE/STUN プロトコルで複数のルートが認識されます。そして、各ルートが評価され、待機時間の最も短いものが選択されます。

この例では、直接 VPN 接続を介して公衆ネットワーク用 RDP Shortpath を使用する UDP 接続が作成されます。この接続が、緑色の線で示すように、待機時間が最も短いためです。

Diagram that shows a UDP connection using RDP Shortpath for public networks over the direct VPN connection will be made as it has the lowest latency.

シナリオ 4

公衆ネットワーク用とマネージド ネットワーク用の両方の RDP Shortpath が有効になっています。 UDP 接続は、公衆ネットワークまたは直接 VPN 接続を介して、クライアント デバイスとセッション ホストの間で確立できます。 クライアントが接続を開始すると、ポート 3390 経由のマネージド ネットワークの RDP Shortpath (既定) と、ICE/STUN プロトコル経由のパブリック ネットワーク用 RDP Shortpath を使用した接続が同時に試行されます。 最初に見つかったアルゴリズムが使用され、ユーザーは、そのセッションのために最初に確立された接続を使用します。

公衆ネットワークを経由するには、NAT デバイス、ロード バランサー、STUN サーバーなどの追加の手順を伴うため、最初に見つかったアルゴリズムで、マネージド ネットワーク用 RDP Shortpath を使用して接続が選択され、最初に確立される可能性があります。

Diagram that shows the first-found algorithm will select the connection using RDP Shortpath for managed networks and be established first.

シナリオ 5

UDP 接続は、公衆ネットワークまたは直接 VPN 接続を介して、クライアント デバイスとセッション ホストの間で確立できますが、マネージド ネットワーク用 RDP Shortpath は有効になっていません。 特定のルートが ICE/STUN で使用されないようにするために、管理者は、UDP トラフィックのルートの 1 つをブロックできます。 ルートをブロックすると、残りのパスが常に使用されるようになります。

この例では、直接 VPN 接続で UDP がブロックされ、ICE/STUN プロトコルによって公衆ネットワーク経由で接続が確立されます。

Diagram that shows UDP is blocked on the direct VPN connection and the ICE/STUN protocol establishes a connection over the public network.

シナリオ 6

公衆ネットワーク用とマネージド ネットワーク用の RDP Shortpath の両方が構成されていますが、直接 VPN 接続を使用して UDP 接続を確立できませんでした。 ファイアウォールまたは NAT デバイスによってもパブリック ネットワーク (インターネット) を使用した直接 UDP 接続がブロックされていますが、パブリック ネットワーク (インターネット) 経由でクライアント デバイスとセッション ホストの間で TURN を使用して間接 UDP 接続を中継できます。

Diagram that shows UDP is blocked on the direct VPN connection and a direct connection using a public network also fails. TURN relays the connection over the public network.

シナリオ 7

公衆ネットワーク用とマネージド ネットワーク用の RDP Shortpath の両方が構成されていますが、UDP 接続を確立できませんでした。 この例では、RDP Shortpath は失敗し、接続が、TCP ベースの逆方向接続トランスポートにフォールバックされます。

Diagram that shows a UDP connection couldn't be established. In this instance, RDP Shortpath will fail and the connection will fall back to TCP-based reverse connect transport.

次のステップ