Compartilhar via


Shortpath RDP para Área de Trabalho Virtual do Azure

O Shortpath RDP estabelece um transporte direto baseado em UDP entre um dispositivo local de aplicativo do Windows ou aplicativo de Área de Trabalho Remota em plataformas com suporte e host de sessão na Área de Trabalho Virtual do Azure.

Por padrão, o protocolo RDP tenta estabelecer uma sessão remota usando UDP e usa um transporte de conexão reversa baseado em TCP como um mecanismo de conexão de fallback. A UDP oferecerá melhor confiabilidade de conexão e latência mais consistente. Esse transporte de conexão reversa baseado em TCP fornece a melhor compatibilidade com várias configurações de rede e tem uma alta taxa de sucesso para estabelecer conexões RDP.

O Shortpath RDP pode ser usado de duas maneiras:

  1. Redes gerenciadas, em que a conectividade direta é estabelecida entre o cliente e o host de sessão ao usar uma conexão privada, como uma VPN (rede virtual privada). Uma conexão usando uma rede gerenciada é estabelecida de uma das seguintes maneiras:

    1. Uma conexão UDP direta entre o dispositivo cliente e o host de sessão, em que você precisa habilitar o ouvinte do Shortpath RDP e permitir que uma porta de entrada em cada host de sessão aceite conexões.

    2. Uma conexão UDP direta entre o dispositivo cliente e o host de sessão, usando o protocolo STUN (Simple Traversal Underneath NAT) entre um cliente e um host de sessão. Não é necessário permitir as portas de entrada no host da sessão.

  2. Redes públicas, em que a conectividade direta é estabelecida entre o cliente e o host de sessão ao usar uma conexão pública. Há dois tipos de conexão ao usar uma conexão pública, que são listados aqui em ordem de preferência:

    1. Uma conexão UDP direta usando o protocolo STUN (Simple Traversal Under NAT) entre um cliente e um host de sessão.

    2. Uma conexão UDP indireta usando o protocolo TURN (Traversal Using Relay NAT) com uma retransmissão entre um cliente e um host de sessão.

O transporte Shortpath RDP é baseado em URCP (Protocolo Universal de Controle de Taxa). O URCP aprimora o UDP com o monitoramento ativo das condições de rede e fornece a utilização de links justa e completa. O URCP opera em níveis baixos de atraso e perda, conforme necessário.

Importante

O Shortpath RDP para redes públicas com TURN só está disponível na nuvem pública do Azure.

Principais benefícios

O uso do Shortpath RDP tem os seguintes benefícios principais:

  • O uso do URCP para melhorar o UDP alcança o melhor desempenho, aprendendo dinamicamente os parâmetros de rede e fornecendo o protocolo com um mecanismo de controle de taxa.

  • A remoção de pontos de retransmissão extra reduz o tempo de ida e volta, o que melhora a confiabilidade da conexão e a experiência do usuário com aplicativos sensíveis à latência e métodos de entrada.

  • Além disso, para redes gerenciadas:

    • O Shortpath RDP traz suporte para configurar a prioridade de QoS (Qualidade de Serviço) para conexões RDP por meio de marcas do DSCP (ponto de código de serviços diferenciados).

    • O transporte Shortpath RDP permite limitar o tráfego de rede de saída especificando uma taxa de aceleração para cada sessão.

Como o Shortpath RDP funciona

Para saber como o Shortpath RDP funciona para redes gerenciadas e redes públicas, selecione cada uma das guias a seguir.

Você pode obter a conectividade de linha de visão direta necessária para usar o Shortpath RDP com redes gerenciadas usando os métodos a seguir.

Ter conectividade de linha de visão direta significa que o cliente pode se conectar diretamente ao host da sessão sem ser bloqueado por firewalls.

Observação

Se você estiver usando outros tipos de VPN para se conectar ao Azure, recomendamos usar uma VPN baseada em UDP. Embora a maioria das soluções de VPN baseadas em TCP dão suporte ao UDP aninhado, elas adicionam sobrecarga herdada do controle de congestionamento TCP, o que reduz o desempenho do RDP.

Para usar o Shortpath RDP para redes gerenciadas, você deve habilitar um ouvinte UDP em seus hosts de sessão. Por padrão, a porta 3390 é usada, embora você possa usar uma porta diferente.

O diagrama a seguir apresenta uma visão geral de alto nível das conexões de rede ao usar o Shortpath RDP para redes gerenciadas e hosts de sessão ingressados em um domínio do Active Directory.

Diagrama de conexões de rede ao usar o Shortpath RDP para redes gerenciadas.

Sequência de conexão

Todas as conexões começam estabelecendo um transporte de conexão reversa baseado em TCP pelo Gateway de Área de Trabalho Virtual do Azure. Em seguida, o cliente e o host da sessão estabelecem o transporte RDP inicial e começam a trocar suas funcionalidades. Esses recursos são negociados usando o seguinte processo:

  1. O host da sessão envia a lista de seus endereços IPv4 e IPv6 ao cliente.

  2. O cliente inicia o thread em segundo plano para estabelecer um transporte baseado em UDP paralelo diretamente a um dos endereços IP de sessão.

  3. Embora o cliente esteja investigando os endereços IP fornecidos, ele continua a estabelecer a conexão inicial sobre o transporte de conexão reversa para garantir que não haja atraso na conexão do usuário.

  4. Se o cliente tiver uma conexão direta com o host da sessão, ele estabelecerá uma conexão segura usando o TLS sobre a UDP confiável.

  5. Depois de estabelecer o transporte Shortpath RDP, todos os DVCs (Canais Virtuais Dinâmicos), incluindo gráficos remotos, entrada e redirecionamento de dispositivo, são movidos para o novo transporte. No entanto, se uma topologia de rede ou firewall impedir que o cliente estabeleça a conectividade UDP direta, o RDP continuará com um transporte de conexão reversa.

Se os usuários tiverem o Shortpath da RDP para rede gerenciada e redes públicas disponíveis para eles, o primeiro algoritmo encontrado será usado. O usuário usará qualquer conexão estabelecida primeiro para essa sessão.

Segurança da conexão

O Shortpath RDP estende os recursos de multitransporte RDP. Ele não substitui o transporte de conexão reversa, mas o complementa. A intermediação de sessão inicial é gerenciada por meio do serviço de Área de Trabalho Virtual do Azure e do transporte de conexão reversa. Todas as tentativas de conexão são ignoradas, a menos que correspondam primeiro à sessão de conexão reversa. O Shortpath RDP é estabelecido após a autenticação e, se for estabelecido com êxito, o transporte de conexão reversa será descartado e todo o tráfego flui sobre o Shortpath RDP.

O Shortpath RDP usa uma conexão segura usando o TLS sobre a UDP confiável entre o cliente e o host da sessão usando os certificados do host da sessão. Por padrão, o certificado usado para criptografia de RDP é gerado automaticamente pelo sistema operacional durante a implantação. Você também pode implantar certificados gerenciados centralmente emitidos por uma autoridade de certificação corporativa. Para obter mais informações sobre configurações de certificado, consulte as Configurações de certificado do ouvinte da Área de Trabalho Remota.

Observação

A segurança oferecida pelo Shortpath RDP é a mesma oferecida pelo transporte de conexão reversa TCP.

Cenários de exemplo

Aqui estão alguns cenários de exemplo para mostrar como as conexões são avaliadas para decidir se o Shortpath da RDP é usado em diferentes topologias de rede.

Cenário 1

Uma conexão UDP só pode ser estabelecida entre o dispositivo cliente e o host da sessão em uma rede pública (Internet). Uma conexão direta, como uma VPN, não está disponível. O UDP é permitido por meio do firewall ou do dispositivo NAT.

Diagrama que mostra que o Shortpath da RDP para redes públicas usa STUN.

Cenário 2

Um firewall ou dispositivo NAT está bloqueando uma conexão UDP direta, mas uma conexão UDP indireta pode ser retransmitida usando TURN entre o dispositivo cliente e o host de sessão em uma rede pública (Internet). Outra conexão direta, como uma VPN, não está disponível.

Diagrama que mostra que o Shortpath da RDP para redes públicas usa TURN.

Cenário 3

Uma conexão UDP pode ser estabelecida entre o dispositivo cliente e o host da sessão em uma rede pública ou em uma conexão VPN direta, mas o Shortpath da RDP para redes gerenciadas não está habilitado. Quando o cliente inicia a conexão, o protocolo ICE/STUN pode ver várias rotas e avaliará cada rota e escolherá aquela com a menor latência.

Neste exemplo, uma conexão UDP usando o Shortpath da RDP para redes públicas pela conexão VPN direta será feita, pois ela tem a menor latência, conforme mostrado pela linha verde.

O diagrama que mostra uma conexão UDP usando o Shortpath da RDP para redes públicas pela conexão VPN direta será feita, pois ela tem a menor latência.

Cenário 4

O Shortpath da RDP para redes públicas e redes gerenciadas está habilitado. Uma conexão UDP pode ser estabelecida entre o dispositivo cliente e o host da sessão em uma rede pública ou em uma conexão VPN direta. Quando o cliente inicia a conexão, há tentativas simultâneas de conexão usando o Shortpath da RDP para redes gerenciadas por meio da porta 3390 (por padrão) e do Shortpath da RDP para redes públicas por meio do protocolo ICE/STUN. O primeiro algoritmo encontrado será usado e o usuário usará qualquer conexão estabelecida primeiro para essa sessão.

Como passar por uma rede pública tem mais etapas, por exemplo, um dispositivo NAT, um balanceador de carga ou um servidor STUN, é provável que o primeiro algoritmo encontrado selecione a conexão usando o Shortpath da RDP para redes gerenciadas e seja estabelecido primeiro.

Diagrama que primeiro algoritmo encontrado selecionará a conexão usando o Shortpath da RDP para redes gerenciadas e será estabelecido primeiro.

Cenário 5

Uma conexão UDP pode ser estabelecida entre o dispositivo cliente e o host da sessão em uma rede pública ou em uma conexão VPN direta, mas o Shortpath da RDP para redes gerenciadas não está habilitado. Para impedir que ICE/STUN use uma rota específica, um administrador pode bloquear uma das rotas para o tráfego do UDP. Bloquear uma rota garantiria que o caminho restante seja sempre usado.

Neste exemplo, o UDP é bloqueado na conexão VPN direta e o protocolo ICE/STUN estabelece uma conexão pela rede pública.

Diagrama que mostra que o UDP está bloqueado na conexão VPN direta e o protocolo ICE/STUN estabelece uma conexão pela rede pública.

Cenário 6

O Shortpath da RDP para redes públicas e redes gerenciadas está configurado, no entanto, não foi possível estabelecer uma conexão UDP usando uma conexão VPN direta. Um firewall ou dispositivo NAT também está bloqueando uma conexão UDP direta usando a rede pública (Internet), mas uma conexão UDP indireta pode ser retransmitida usando TURN entre o dispositivo cliente e o host de sessão em uma rede pública (Internet).

Diagrama que mostra que a UDP está bloqueada na conexão VPN direta e uma conexão direta usando uma rede pública também falha. TURN retransmite a conexão através da rede pública.

Cenário 7

O Shortpath da RDP para redes públicas e redes gerenciadas está configurado, no entanto, não foi possível estabelecer uma conexão UDP. Nesse caso, o Shortpath da RDP falhará e a conexão retornará ao transporte de conexão reversa baseado em TCP.

Diagrama que mostra que não foi possível estabelecer uma conexão UDP. Nesta instância, o Shortpath da RDP falhará e a conexão retornará para o transporte de conexão reversa baseado em TCP.

Próximas etapas