RDP Shortpath voor Azure Virtual Desktop

RDP Shortpath brengt een UDP-transport tot stand tussen een lokaal apparaat Windows-app of de Extern bureaublad-app op ondersteunde platforms en sessiehost in Azure Virtual Desktop. Standaard start het Extern bureaublad Protocol (RDP) een op TCP gebaseerd omgekeerd verbindingstransport en probeert vervolgens een externe sessie tot stand te brengen met behulp van UDP. Als de UDP-verbinding werkt, wordt de TCP-verbinding verbroken. Anders wordt de TCP-verbinding gebruikt als een terugvalmechanisme.

UDP-transport biedt een betere verbindingsbetrouwbaarheid en consistentere latentie. TCP-gebaseerd reverse connect transport biedt de beste compatibiliteit met verschillende netwerkconfiguraties en heeft een hoog slagingspercentage voor het tot stand brengen van RDP-verbindingen.

RDP Shortpath kan op twee manieren worden gebruikt:

  1. Beheerde netwerken, waarbij directe connectiviteit tot stand wordt gebracht tussen de client en de sessiehost bij het gebruik van een privéverbinding, zoals Azure ExpressRoute of een site-to-site virtueel particulier netwerk (VPN). Een verbinding via een beheerd netwerk wordt op een van de volgende manieren tot stand gebracht:

    1. Een directe UDP-verbinding tussen het clientapparaat en de sessiehost, waarbij u de RDP Shortpath-listener moet inschakelen en een binnenkomende poort op elke sessiehost moet toestaan om verbindingen te accepteren.

    2. Een directe UDP-verbinding tussen het clientapparaat en de sessiehost, met behulp van het STUN-protocol (Simple Traversal Underneath NAT) tussen een client en de sessiehost. Binnenkomende poorten op de sessiehost hoeven niet te zijn toegestaan.

  2. Openbare netwerken, waar directe connectiviteit tot stand wordt gebracht tussen de client en de sessiehost bij gebruik van een openbare verbinding. Er zijn twee verbindingstypen voor het gebruik van een openbare verbinding, die hier worden vermeld in volgorde van voorkeur:

    1. Een directe UDP-verbinding tussen een client en de sessiehost met behulp van het STUN-protocol (Simple Traversal Underneath NAT).

    2. Een doorgegeven UDP-verbinding met behulp van het Traversal Using Relay NAT (TURN)-protocol tussen een client en de sessiehost.

Het transport dat wordt gebruikt voor RDP Shortpath is gebaseerd op het Universal Rate Control Protocol (URCP). URCP verbetert UDP met actieve monitoring van de netwerkomstandigheden en zorgt voor eerlijk en volledig gebruik van de verbinding. URCP werkt indien nodig met lage vertragings- en verliesniveaus.

Belangrijk

  • Azure cloud: RDP Shortpath voor openbare netwerken via STUN en TURN is algemeen beschikbaar.
  • Azure Cloud voor de overheid: RDP Shortpath via STUN en TURN is beschikbaar in openbare preview met **toegewezen servers met IP-bereik 20.140.236.0/22. Klanten kunnen de functie voor de sessiehost uitproberen in de validatiering.

Belangrijkste voordelen

Het gebruik van RDP Shortpath heeft de volgende belangrijke voordelen:

  • Door URCP te gebruiken om UDP te verbeteren, worden de beste prestaties bereikt door netwerkparameters dynamisch te leren en het protocol te voorzien van een snelheidscontrolemechanisme.

  • Hogere doorvoer.

  • Bij gebruik van STUN verkort het verwijderen van extra relaispunten de retourtijd, verbetert het de betrouwbaarheid van de verbinding en de gebruikerservaring met latentiegevoelige toepassingen en invoermethoden.

  • Voor beheerde netwerken geldt het volgende:

    • RDP Shortpath biedt ondersteuning voor het configureren van QoS-prioriteit (Quality of Service) voor RDP-verbindingen via DSCP-markeringen (Differentiated Services Code Point).

    • Met het RDP Shortpath-transport kan het uitgaande netwerkverkeer worden beperkt door voor elke sessie een beperkingssnelheid op te geven.

Hoe werkt RDP Shortpath

Als u wilt weten hoe RDP Shortpath werkt voor beheerde netwerken en openbare netwerken, selecteert u elk van de volgende tabbladen.

U kunt de directe zichtlijnverbinding die is vereist voor het gebruik van RDP Shortpath met beheerde netwerken op de volgende manieren tot stand brengen.

Het hebben van directe zichtlijnconnectiviteit betekent dat de client rechtstreeks verbinding kan maken met de sessiehost zonder te worden geblokkeerd door firewalls.

Opmerking

Als u andere VPN-typen gebruikt om verbinding te maken met Azure, raden we u aan een UDP-gebaseerde VPN te gebruiken. Hoewel de meeste op TCP gebaseerde VPN-oplossingen geneste UDP ondersteunen, voegen ze overgenomen overhead van TCP-congestiebeheer toe, wat de RDP-prestaties vertraagt.

Als u RDP Shortpath wilt gebruiken voor beheerde netwerken, moet u een UDP-listener inschakelen op uw sessiehosts. Standaard wordt poort 3390 gebruikt, hoewel u ook een andere poort kunt gebruiken.

In het volgende diagram ziet u een overzicht op hoog niveau van de netwerkverbindingen bij gebruik van RDP Shortpath voor beheerde netwerken en sessiehosts die zijn gekoppeld aan een Active Directory-domein.

Diagram van netwerkverbindingen bij het gebruik van RDP Shortpath voor beheerde netwerken.

Verbindingsvolgorde

Alle verbindingen beginnen met het tot stand brengen van een TCP-gebaseerd reverse connect-transport via de Azure Virtual Desktop Gateway. Vervolgens stellen de client en de sessiehost het initiële RDP-transport tot stand en beginnen ze met het uitwisselen van hun mogelijkheden. Over deze mogelijkheden wordt onderhandeld met behulp van het volgende proces:

  1. De sessiehost verzendt de lijst met IPv4- en IPv6-adressen naar de client.

  2. De client start de achtergrondthread om een parallel UDP-transport rechtstreeks tot stand te brengen naar een van de IP-adressen van de sessiehost.

  3. Terwijl de client de opgegeven IP-adressen onderzoekt, wordt de initiële verbinding via het reverse connect-transport tot stand gebracht om ervoor te zorgen dat er geen vertraging optreedt in de gebruikersverbinding.

  4. Als de client een rechtstreekse verbinding heeft met de sessiehost, brengt de client een beveiligde verbinding tot stand met TLS via betrouwbare UDP.

  5. Nadat het RDP Shortpath-transport tot stand is gebracht, worden alle Dynamic Virtual Channels (DVC's), inclusief externe afbeeldingen, invoer en apparaatomleiding, naar het nieuwe transport verplaatst. Als een firewall of netwerktopologie echter verhindert dat de client een directe UDP-verbinding tot stand brengt, gaat RDP verder met omgekeerd transport.

Als uw gebruikers beschikken over zowel RDP Shortpath voor beheerde netwerken als openbare netwerken, wordt het eerst gevonden algoritme gebruikt. De gebruiker gebruikt de verbinding die voor die sessie het eerst tot stand wordt gebracht.

Beveiliging van de verbinding

Met RDP Shortpath kunt u de mogelijkheden voor RDP-multitransport uitbreiden. Het vervangt het reverse connect transport niet, maar vult het aan. De initiële sessie-brokering wordt beheerd via de Azure Virtual Desktop-service en het reverse connect-transport. Alle verbindingspogingen worden genegeerd, tenzij ze eerst overeenkomen met de sessie met omgekeerde verbinding. RDP Shortpath wordt tot stand gebracht na verificatie en als dit tot stand is gebracht, wordt het reverse connect-transport verwijderd en stroomt al het verkeer over de RDP Shortpath.

RDP Shortpath gebruikt een beveiligde verbinding met TLS via betrouwbare UDP tussen de client en de sessiehost met behulp van de certificaten van de sessiehost. Het certificaat dat wordt gebruikt voor RDP-versleuteling wordt standaard zelf gegenereerd door het besturingssysteem tijdens de implementatie. Azure Virtual Desktop biedt op dit moment geen ondersteuning voor het gebruik van een certificaat dat is uitgegeven door een certificeringsinstantie.

Opmerking

De beveiliging die wordt geboden door RDP Shortpath is dezelfde als die van TCP-transport met omgekeerde verbinding. Meer informatie over de beveiliging van de verbinding.

Voorbeelden van scenario's

Hier volgen enkele voorbeeldscenario's om weer te geven hoe verbindingen worden geëvalueerd om te bepalen of RDP Shortpath wordt gebruikt in verschillende netwerktopologieën.

Scenario 1

Een UDP-verbinding kan alleen tot stand worden gebracht tussen het clientapparaat en de sessiehost via een openbaar netwerk (internet). Een rechtstreekse verbinding, zoals een VPN, is niet beschikbaar. UDP is toegestaan door de firewall of het NAT-apparaat.

Diagram met de melding dat RDP Shortpath voor openbare netwerken STUN gebruikt.

Scenario 2

Een firewall of NAT-apparaat blokkeert een directe UDP-verbinding, maar een doorgegeven UDP-verbinding kan via TURN worden doorgegeven tussen het clientapparaat en de sessiehost via een openbaar netwerk (internet). Een andere directe verbinding, zoals een VPN, is niet beschikbaar.

Diagram met RDP Shortpath voor openbare netwerken gebruikt TURN.

Scenario 3

Er kan een UDP-verbinding tot stand worden gebracht tussen het clientapparaat en de sessiehost via een openbaar netwerk of via een directe VPN-verbinding, maar RDP Shortpath voor beheerde netwerken is niet ingeschakeld. Wanneer de client de verbinding tot stand brengt, kan het ICE/STUN-protocol meerdere routes zien. Elke route wordt geëvalueerd en de route met de laagste latentie wordt gekozen.

In dit voorbeeld wordt een UDP-verbinding gemaakt met behulp van RDP Shortpath voor openbare netwerken via de directe VPN-verbinding, omdat deze de laagste latentie heeft, zoals aangegeven door de groene lijn.

Diagram met een UDP-verbinding met RDP Shortpath voor openbare netwerken via de directe VPN-verbinding wordt gemaakt omdat deze de laagste latentie heeft.

Scenario 4

Zowel RDP Shortpath voor openbare netwerken als beheerde netwerken zijn ingeschakeld. Er kan een UDP-verbinding tot stand worden gebracht tussen het clientapparaat en de sessiehost via een openbaar netwerk of via een directe VPN-verbinding. Wanneer de client de verbinding tot stand brengt, worden er tegelijkertijd pogingen ondernomen om verbinding te maken met behulp van RDP Shortpath voor beheerde netwerken via poort 3390 (standaard) en RDP Shortpath voor openbare netwerken via het ICE/STUN-protocol. Het eerst gevonden algoritme zal worden gebruikt en de gebruiker zal de verbinding gebruiken die het eerst tot stand wordt gebracht voor die sessie.

Aangezien het uitvoeren van een openbaar netwerk meer stappen vereist, bijvoorbeeld een NAT-apparaat, een taakverdeler of een STUN-server, is het waarschijnlijk dat het eerst gevonden algoritme de verbinding via RDP Shortpath voor beheerde netwerken selecteert en als eerste tot stand wordt gebracht.

Diagram met het eerst gevonden algoritme selecteert de verbinding met behulp van RDP Shortpath voor beheerde netwerken en wordt als eerste tot stand gebracht.

Scenario 5

Er kan een UDP-verbinding tot stand worden gebracht tussen het clientapparaat en de sessiehost via een openbaar netwerk of via een directe VPN-verbinding, maar RDP Shortpath voor beheerde netwerken is niet ingeschakeld. Om te voorkomen dat ICE/STUN een bepaalde route gebruikt, kan een beheerder een van de routes voor UDP-verkeer blokkeren. Als u een route blokkeert, wordt het resterende pad altijd gebruikt.

In dit voorbeeld wordt UDP geblokkeerd op de directe VPN-verbinding en brengt het ICE/STUN-protocol een verbinding tot stand via het openbare netwerk.

Diagram waarin wordt weergegeven dat UDP wordt geblokkeerd op de directe VPN-verbinding en dat het ICE/STUN-protocol een verbinding tot stand brengt via het openbare netwerk.

Scenario 6

Zowel RDP Shortpath voor openbare netwerken als beheerde netwerken zijn geconfigureerd, maar er kan geen UDP-verbinding tot stand worden gebracht met een directe VPN-verbinding. Een firewall of NAT-apparaat blokkeert ook een directe UDP-verbinding via het openbare netwerk (internet), maar een doorgegeven UDP-verbinding kan via TURN worden doorverbonden tussen het clientapparaat en de sessiehost via een openbaar netwerk (internet).

Diagram dat aangeeft dat UDP wordt geblokkeerd op de directe VPN-verbinding en dat een rechtstreekse verbinding via een openbaar netwerk ook mislukt. TURN geeft de verbinding door via het openbare netwerk.

Scenario 7

Zowel RDP Shortpath voor openbare netwerken als beheerde netwerken zijn geconfigureerd, maar er kan geen UDP-verbinding tot stand worden gebracht. In dit geval mislukt RDP Shortpath en valt de verbinding terug op TCP-gebaseerd transport met omgekeerde verbinding.

Diagram dat aangeeft dat er geen UDP-verbinding tot stand kan worden gebracht. In dit geval mislukt RDP Shortpath en valt de verbinding terug op TCP-gebaseerd transport met omgekeerde verbinding.

Volgende stappen

  • Laatst bijgewerkt om