Nätverkstopologi och anslutning för Azure Virtual Desktop

Designen och implementeringen av Azure-nätverksfunktioner i Azure Virtual Desktop är avgörande för din Azure Virtual Desktop-landningszon. Den här artikeln bygger på flera arkitekturprinciper för Molnimplementeringsramverk för Azure i företagsskala och rekommendationer för hantering av nätverkstopologi och anslutning i stor skala.

Designfundamenten är:

• Hybridintegrering för anslutning mellan lokala miljöer, multimoln- och gränsmiljöer och globala användare. Mer information finns i Stöd i företagsskala för hybrid och multimoln.
• Prestanda och tillförlitlighet i stor skala för en konsekvent upplevelse med låg svarstid och skalbarhet för arbetsbelastningar.
• Nollförtroendebaserad nätverkssäkerhet för att skydda nätverksperimeter och trafikflöden. Mer information finns i Strategier för nätverkssäkerhet i Azure.
• Utökningsbarhet för att enkelt utöka ett nätverksfotavtryck utan att designen omarbetas.

Nätverkskomponenter och begrepp

• Azure Virtual Network är den grundläggande byggstenen för privata nätverk i Azure. Med Virtuellt nätverk kan många typer av Azure-resurser, till exempel Virtuella Azure-datorer, kommunicera med varandra, Internet och lokala datacenter. Ett virtuellt nätverk liknar ett traditionellt nätverk som du arbetar i ditt eget datacenter. Men ett virtuellt nätverk erbjuder fördelarna med skalning, tillgänglighet och isolering i Azure-infrastrukturen.
• En nätverkstopologi med nav-ekrar är en typ av nätverksarkitektur där ett virtuellt navnätverk fungerar som en central anslutningspunkt till flera virtuella ekernätverk. Hubben kan också vara anslutningspunkten till lokala datacenter. Peer för virtuella ekernätverk med hubben och hjälper till att isolera arbetsbelastningar.
• Azure Virtual WAN är en nätverkstjänst som sammanför nätverks-, säkerhets- och routningsfunktioner i ett enda driftgränssnitt.
• En virtuell nätverksinstallation (NVA) är en nätverksenhet som stöder funktioner som anslutning, programleverans, WAN-optimering (wide-area network) och säkerhet. NVA:er inkluderar Azure Firewall och Azure Load Balancer.
• I ett scenario med tvingad tunneltrafik dirigeras all internetbunden trafik som kommer från virtuella Azure-datorer (VM) eller tvingas att genomgå en inspektions- och granskningsinstallation. Obehörig internetåtkomst kan potentiellt leda till avslöjande av information eller andra typer av säkerhetsöverträdelser utan trafikinspektion eller granskning.
• Nätverkssäkerhetsgrupper används för att filtrera nätverkstrafik till och från Azure-resurser i ett virtuellt Azure-nätverk. En nätverkssäkerhetsgrupp innehåller säkerhetsregler som tillåter eller nekar inkommande nätverkstrafik till, eller utgående nätverkstrafik från, flera typer av Azure-resurser.
• Programsäkerhetsgrupper är ett sätt för dig att konfigurera nätverkssäkerhet som ett naturligt tillägg för ett programs struktur. Du kan använda programsäkerhetsgrupper för att gruppera virtuella datorer och definiera nätverkssäkerhetsprinciper som baseras på dessa grupper. Du kan återanvända din säkerhetsprincip i stor skala utan att behöva underhålla explicita IP-adresser manuellt.
• Användardefinierade vägar (UDR) kan användas för att åsidosätta Azures standardsystemvägar. Du kan också använda UDR:er för att lägga till extra vägar i en undernätsvägstabell.
• Shortpath (RDP Shortpath) (Remote Desktop Protocol Shortpath) är en funktion i Azure Virtual Desktop som baseras på URCP (Universal Rate Control Protocol). RDP Shortpath upprättar en direkttransport som baseras på UDP (User Datagram Protocol) mellan en Windows Remote Desktop-klient som stöds och Azure Virtual Desktop-sessionsvärdar. URCP förbättrar UDP-anslutningar genom att tillhandahålla aktiv övervakning av nätverksförhållanden och QoS-funktioner (quality-of-service).
• Med Azure Private Link med Azure Virtual Desktop (förhandsversion) kan du använda en privat slutpunkt i Azure för att ansluta sessionsvärdar till Azure Virtual Desktop-tjänsten. Med Private Link överförs trafiken mellan ditt virtuella nätverk och Azure Virtual Desktop-tjänsten i Microsofts stamnätverk . Därför behöver du inte ansluta till det offentliga Internet för att få åtkomst till Azure Virtual Desktop-tjänster.

Nätverksscenarier

För att upprätta Azure Virtual Desktop-landningszonen är design och implementering av nätverksfunktioner avgörande. Azure-nätverksprodukter och -tjänster stöder en mängd olika funktioner. Vilken arkitektur du väljer och hur du strukturerar tjänster beror på organisationens arbetsbelastningar, styrning och krav.

Följande viktiga krav och överväganden påverkar dina beslut om Azure Virtual Desktop-distribution:

• Krav för ingress och utgående internet.
• NVA-användning i den aktuella arkitekturen.
• Azure Virtual Desktop-anslutning till ett virtuellt standardhubbnätverk eller Virtual WAN-hubb.
• Anslutningsmodellen för sessionsvärden. Du kan använda en intern modell eller RDP Shortpath.
• Trafikkontrollkrav för:
  • Internetutgående från Azure Virtual Desktop.
  • Internet-ingress till Azure Virtual Desktop.
  • Azure Virtual Desktop-trafik till lokala datacenter.
  • Azure Virtual Desktop-trafik till andra virtuella nätverksinstanser.
  • Trafik i det virtuella Azure Virtual Desktop-nätverket.

Det vanligaste nätverksscenariot för Azure Virtual Desktop är en nav-och-eker-topologi med hybridanslutning.

Scenario 1: Hubb och eker med hybridanslutning

I det här scenariot används standardanslutningsmodellen för sessionsvärden.

Kundprofil

Det här scenariot är idealiskt om:

• Du behöver inte trafikkontroll mellan Azure Virtual Desktop-nätverk och andra virtuella Azure-nätverk.
• Du behöver inte trafikkontroll mellan Azure Virtual Desktop-nätverk och lokala datacenter.
• Du behöver inte trafikkontroll av utgående internettrafik från Azure Virtual Desktop-nätverk.
• Du behöver inte styra de offentliga IP-adresser som används under källnätverksadressöversättning (SNAT) för utgående Internetanslutningar i Azure Virtual Desktop.
• Du framtvingar inte nätverksintern trafik i Azure Virtual Desktop.
• Du har redan befintlig hybridanslutning till lokala miljöer, antingen via Azure ExpressRoute eller ett virtuellt privat nätverk (VPN) från plats till plats (S2S).
• Du har redan befintliga anpassade servrar Active Directory-domän Services (AD DS) och Domain Name System (DNS).
• Du använder Azure Virtual Desktop med hjälp av en standardanslutningsmodell, inte RDP Shortpath.

Arkitekturkomponenter

Du kan implementera det här scenariot med:

• AD DS-servrar och anpassade DNS-servrar.
• Nätverkssäkerhetsgrupper.
• Azure Network Watcher.
• Utgående Internet via en standardsökväg för virtuella Azure-nätverk.
• ExpressRoute eller en virtuell VPN-nätverksgateway för hybridanslutning till lokala system.
• En privat DNS-zon i Azure.
• Privata Azure-slutpunkter.
• Azure Files-lagringskonton.
• Azure Key Vault.

Att tänka på

• Det här scenariot rymmer inte direkt nätverksanslutning mellan en klient och en offentlig eller privat sessionsvärd. Du kan inte använda RDP Shortpath i det här scenariot.
• Kontrollplansgatewayen för Azure Virtual Desktop, som använder en offentlig slutpunkt, hanterar klientanslutningar. Därför kan Azure Virtual Desktop-klienter skapa utgående anslutningar till nödvändiga Url:er för Azure Virtual Desktop. Mer information om nödvändiga URL:er finns i avsnittet Internet i den här artikeln och nödvändiga URL:er för Azure Virtual Desktop.
• Inga offentliga IP-adresser eller andra offentliga inkommande sökvägar till sessionsvärdar behövs. Trafik från klienter till sessionsvärdar flödar via Azure Virtual Desktop-kontrollplansgatewayen.
• Det finns ingen peering för virtuella nätverk mellan Azure Virtual Desktop-ekrar. All trafik går via anslutningshubben.
• De utgående Internetanslutningarna från Azure Virtual Desktop-sessionsvärdar går igenom nat-standardprocessen för utgående nätverksadressöversättning (AZURE). Dynamiska offentliga IP-adresser i Azure används. Kunder har ingen kontroll över de utgående offentliga IP-adresser som används.
• Anslut joner från sessionsvärdar till Azure Files-lagringskonton upprättas med hjälp av privata slutpunkter.
• Privata DNS-zoner i Azure används för att matcha privata slutpunktsnamnområden för följande tjänster:
  • Azure Files-lagringskonton, som använder namnet privatelink.file.core.windows.net
  • Nyckelvalv, som använder namnet privatelink.vaultcore.azure.net
• Nätverksfiltrering tillämpas inte för det här scenariot. Men nätverkssäkerhetsgrupper placeras i alla undernät så att du kan övervaka trafiken och härleda insikter. I Network Watcher används trafikanalys och nätverkssäkerhetsgruppens flödesloggningsfunktion för dessa ändamål.

Scenario 2: Hubb och eker med hybridanslutning via hanterade nätverk med RDP Shortpath

Detaljerad distributionsvägledning finns i RDP Shortpath-anslutning för hanterade nätverk.

Kundprofil

Det här scenariot är idealiskt om:

• Du vill begränsa antalet over-the-Internet-anslutningar till Azure Virtual Desktop-sessionsvärdar.
• Du har redan befintlig hybridanslutning från en lokal miljö till Azure, antingen via ExpressRoute eller ett S2S- eller punkt-till-plats-VPN (P2S).
• Du har en direkt nätverksanslutning mellan RDP-klienter och Azure Virtual Desktop-värdar. Normalt används en av följande installationer i det här scenariot:
  • Lokala nätverk som dirigeras till Azure Virtual Desktop Azure-nätverk
  • Vpn-klientanslutningar som dirigeras till virtuella Azure-nätverk i Azure Virtual Desktop
• Du måste begränsa bandbreddsanvändningen för virtuella datorvärdar via privata nätverk, till exempel vpn eller ExpressRoute.
• Du vill prioritera Azure Virtual Desktop-trafik i nätverket.
• Du behöver inte trafikkontroll mellan Azure Virtual Desktop-nätverk och andra virtuella Azure-nätverk.
• Du behöver inte trafikkontroll mellan Azure Virtual Desktop-nätverk och lokala datacenter.
• Du har befintliga AD DS- eller DNS-anpassade servrar.

Arkitekturkomponenter

Du kan implementera det här scenariot med:

• ExpressRoute eller en virtuell VPN-nätverksgateway för hybridanslutning till lokala miljöer med tillräcklig bandbredd.
• AD DS-servrar och anpassade DNS-servrar.
• Nätverkssäkerhetsgrupper.
• Utgående Internet via en standardsökväg för virtuella Azure-nätverk.
• Domängruppprincipobjekt (GPO: er) eller lokala grupprincipobjekt.
• Azure Files-lagringskonton.
• Privata Azure-slutpunkter.
• En privat DNS-zon i Azure.

Att tänka på

• Hybridanslutningar måste vara tillgängliga via ett VPN eller ExpressRoute med RDP-klientens direkta nätverksanslutning till privata VM-värdar på port 3390.

Kommentar

För hanterade nätverk kan UDP-standardporten ändras.

• Ett domän-GPO eller lokalt grupprincipobjekt måste användas för att aktivera UDP över hanterade nätverk.
• Hybridanslutningen måste ha tillräckligt med bandbredd för att tillåta UDP-direktanslutningar till VM-värdar.
• Hybridanslutningen måste ha direktdirigering för att tillåta anslutningar till vm-värdar.
• Kontrollplansgatewayen för Azure Virtual Desktop, som använder en offentlig slutpunkt, hanterar klientanslutningar. Därför kan Azure Virtual Desktop-klienter skapa utgående anslutningar till nödvändiga Url:er för Azure Virtual Desktop. Mer information om nödvändiga URL:er finns i avsnittet Internet i den här artikeln och nödvändiga URL:er för Azure Virtual Desktop.
• Inga offentliga IP-adresser eller andra offentliga inkommande sökvägar till sessionsvärdar behövs. Trafik från klienter till sessionsvärdar flödar via Azure Virtual Desktop-kontrollplansgatewayen.
• Den utgående internetanslutningen från Azure Virtual Desktop-sessionsvärdar genomgår standardprocessen för utgående NAT för Azure. Dynamiska offentliga IP-adresser i Azure används. Kunder har ingen kontroll över de utgående offentliga IP-adresser som används.
• Anslut joner från sessionsvärdar till Azure Files-lagringskonton upprättas med hjälp av privata slutpunkter.
• Privata DNS-zoner i Azure används för att matcha privata slutpunktsnamnområden.
• Nätverksfiltrering tillämpas inte för det här scenariot. Men nätverkssäkerhetsgrupper placeras i alla undernät så att du kan övervaka trafiken och härleda insikter. I Network Watcher används trafikanalys och nätverkssäkerhetsgruppens flödesloggningsfunktion för dessa ändamål.

Kommentar

För närvarande har Azure Virtual Desktop inte stöd för att använda Private Link och RDP Shortpath på samma gång.

Scenario 3: Hubb och eker med offentliga nätverk med RDP Shortpath

Detaljerad distributionsvägledning finns i RDP Shortpath-anslutning för offentliga nätverk.

Kundprofil

Det här scenariot är idealiskt om:

• Dina Azure Virtual Desktop-klientanslutningar passerar det offentliga Internet. Vanliga scenarier är arbets-från-hem-användare, fjärranslutna kontorsanvändare som inte är anslutna till företagsnätverk och fjärrentreprenörsanvändare.
• Du har anslutningar med hög svarstid eller låg bandbredd till Azure Virtual Desktops-sessionsvärdar.
• Du måste begränsa bandbreddsanvändningen för Azure Virtual Desktop-sessionsvärdar via QoS-nätverksprinciper.
• Du vill prioritera Azure Virtual Desktop-trafik i nätverket via QoS-principer.
• RDP-klientanslutningar börjar från nätverk med inkonsekvent bandbredd och hastighet.
• Du har direkt utgående anslutning från Azure Virtual Desktop-sessionsvärdar. Du använder inte en tvingad tunneldirigering via lokala nätverk.
• Du behöver inte trafikkontroll mellan Azure Virtual Desktop-nätverk och andra virtuella Azure-nätverk.
• Du behöver inte trafikkontroll mellan Azure Virtual Desktop-nätverk och lokala datacenter.
• Du har befintliga AD DS- eller DNS-anpassade servrar.

Arkitekturkomponenter

Du kan implementera det här scenariot med:

• ExpressRoute eller en virtuell VPN-nätverksgateway för hybridanslutning till lokala miljöer. Den här konfigurationen är lämplig när det finns tillräckligt med bandbredd för att stödja anslutningar till lokala program, data eller AD DS-anslutningar. Vi rekommenderar inte att du använder tvingad tunneltrafik för att skicka Azure Virtual Desktop-trafik via lokala routrar.
• AD DS-servrar och anpassade DNS-servrar.
• Nätverkssäkerhetsgrupper.
• Network Watcher.
• Utgående Internet via en standardsökväg för virtuella Azure-nätverk.
• Domän-GPO:er eller lokala grupprincipobjekt.
• Azure Files-lagringskonton.
• Privata Azure-slutpunkter.
• En privat DNS-zon i Azure.

Att tänka på

• Tillåt följande typer av anslutningar:

  • Utgående UDP-anslutningar från Azure Virtual Desktop-sessionsvärdar till Azure Virtual Desktop Session Traversal Utilities for NAT (STUN) och Traversal Using Relay NAT-tjänster (TURN) på port 3478
  • UDP-anslutningar från RDP-klienter i portintervallet 49152–65535

  Inställningen som konfigurerar dessa anslutningar är aktiverad som standard och upprätthåller samma krypteringsnivå som omvänd anslutning till Transmission Control Protocol (TCP). Information om hur du begränsar RDP-klientportintervall finns i Begränsa portintervallet när du använder RDP Shortpath för offentliga nätverk.

• Kontrollplansgatewayen för Azure Virtual Desktop, som använder en offentlig slutpunkt, hanterar klientanslutningar. Därför kan Azure Virtual Desktop-klienter skapa utgående anslutningar till nödvändiga Url:er för Azure Virtual Desktop. Mer information om nödvändiga URL:er finns i avsnittet Internet i den här artikeln och nödvändiga URL:er för Azure Virtual Desktop.

• Konsumentroutrar som vanligtvis finns i hemanvändarnätverk bör ha Universal Plug and Play (UPnP) aktiverat.

• Inga offentliga IP-adresser eller andra offentliga inkommande sökvägar till sessionsvärdar behövs. Trafik från klienter till sessionsvärdar flödar via Azure Virtual Desktop-kontrollplansgatewayen.

• Den utgående internetanslutningen från Azure Virtual Desktop-sessionsvärdar genomgår standardprocessen för utgående NAT för Azure. Dynamiska offentliga IP-adresser i Azure används. Kunder har ingen kontroll över de utgående offentliga IP-adresser som används.

• Du måste konfigurera DSCP-märkning (differentierad tjänstkodpunkt) på sessionsvärdarna. Använd lokala grupprincipobjekt eller domän-GRUP:er för den här konfigurationen. När du använder DSCP-markörer kan nätverksenheter tillämpa QoS-principer för Azure Virtual Desktop-trafik. Mer information finns i Implementera tjänstkvalitet (QoS) för Azure Virtual Desktop.

• Anslut från sessionsvärdar till Azure Files-lagringskonton upprättas med hjälp av privata slutpunkter.

• Privata DNS-zoner i Azure används för att matcha privata slutpunktsnamnområden.

• Nätverksfiltrering tillämpas inte för det här scenariot. Men nätverkssäkerhetsgrupper placeras i alla undernät så att du kan övervaka trafiken och härleda insikter. I Network Watcher används trafikanalys och nätverkssäkerhetsgruppens flödesloggningsfunktion för dessa ändamål.

Allmänna designöverväganden och rekommendationer

Följande avsnitt innehåller allmänna designöverväganden och rekommendationer för nätverkstopologi och anslutning i Azure Virtual Desktop.

Nätverkstopologi för nav och eker jämfört med Virtual WAN

Virtual WAN stöder överföringsanslutning mellan VPN och ExpressRoute men stöder inte topologier för hubb och eker.

Identitetstjänster

Anslutningskrav för identitetstjänster i Azure Virtual Desktop-sessionsvärdar beror på identitetsmodellen.

• För Microsoft Entra Domain Services–anslutna virtuella datorer: Azure Virtual Desktop-nätverk måste ha anslutning till nätverket där identitetstjänsten finns.
• För Microsoft Entra ID-anslutna virtuella datorer: Azure Virtual Desktop-sessionsvärdar skapar utgående anslutningar till offentliga Microsoft Entra-ID-slutpunkter. Därför krävs inga konfigurationer för privat anslutning.

DNS

Azure Virtual Desktop-sessionsvärdar har samma krav för namnmatchning som andra IaaS-arbetsbelastningar (infrastruktur som en tjänst). Därför krävs anslutning till anpassade DNS-servrar eller åtkomst via en virtuell nätverkslänk till privata DNS-zoner i Azure. Extra privata DNS-zoner i Azure krävs för att vara värd för privata slutpunktsnamnområden för vissa PaaS-tjänster (plattform som en tjänst), till exempel lagringskonton och nyckelhanteringstjänster.

Mer information finns i DNS-konfiguration för privata Slutpunkter i Azure.

För att underlätta klientkonfigurationen för slutanvändaren i Azure Virtual Desktop, inklusive prenumerationen på RDS-feeden (Remote Desktop Services), är det bäst att konfigurera identifiering av e-post. Du måste konfigurera e-postidentifiering i den offentliga DNS-domänen och sedan prenumerera på rds-flödet. Mer information finns i Konfigurera e-postidentifiering för att prenumerera på rds-flödet.

Bandbredd och svarstid

Azure Virtual Desktop använder RDP. Mer information om RDP finns i Bandbreddskrav för RDP (Remote Desktop Protocol).

Anslutningsfördröjningen varierar beroende på användarnas och de virtuella datorernas plats. Azure Virtual Desktop-tjänster distribueras kontinuerligt till nya geografiska områden för att förbättra svarstiden. Om du vill minimera svarstiden som Azure Virtual Desktop-klienter upplever använder du Estimator för Azure Virtual Desktop Experience. Det här verktyget innehåller RTT-exempel (round-trip time) från klienter. Du kan använda den här informationen för att placera sessionsvärdar i den region som är närmast slutanvändarna och som har lägst RTT. Information om hur du tolkar resultat från beräkningsverktyget finns i Analysera anslutningskvalitet i Azure Virtual Desktop.

QoS med RDP Shortpath

RDP Shortpath för hanterade nätverk ger en direkt UDP-baserad transport mellan en Fjärrskrivbordsklient och en sessionsvärd. RDP Shortpath för hanterade nätverk är ett sätt att konfigurera QoS-principer för RDP-data. QoS i Azure Virtual Desktop tillåter RDP-trafik i realtid som är känslig för nätverksfördröjningar för att "skära i linje" framför mindre känslig trafik.

Du kan använda RDP Shortpath på två sätt:

• I hanterade nätverk, där direktanslutning upprättas mellan klienten och sessionsvärden när du använder en privat anslutning, till exempel en ExpressRoute-anslutning eller ett VPN.
• I offentliga nätverk, där direktanslutning upprättas mellan klienten och sessionsvärden när du använder en offentlig anslutning. Exempel på offentliga anslutningar är hemnätverk, kafénätverk och hotellnätverk. Det finns två möjliga anslutningstyper när du använder en offentlig anslutning:

  • En direkt UDP-anslutning mellan en klient och en sessionsvärd som använder STUN-protokollet.

  • En indirekt UDP-anslutning som använder TURN-protokollet med ett relä mellan en RDP-klient och en sessionsvärd. Det här alternativet används om gatewayen eller routern inte tillåter direkta UDP-anslutningar.

    Kommentar

    Användning av RDP Shortpath för offentliga nätverk med TURN för Azure Virtual Desktop är för närvarande en förhandsversion. Mer information finns i RDP Shortpath för Azure Virtual Desktop.

RDP-sökvägen utökar RDP-funktioner för flera transporter. Den ersätter inte den omvända anslutningstransporten utan kompletterar den.

Inledande sessionsutjämning hanteras via Azure Virtual Desktop-tjänsten och omvänd anslutningstransport, som är TCP-baserad. Alla anslutningsförsök ignoreras om de inte matchar den omvända anslutningssessionen först.

RDP Shortpath, som är UDP-baserad, upprättas efter autentisering. Om RDP Shortpath har upprättats tas den omvända anslutningstransporten bort. Sedan flödar all trafik över någon av RDP Shortpath-metoderna som det här avsnittet listar tidigare.

Mer information finns i Implementera tjänstkvalitet (QoS) för Azure Virtual Desktop.

Internet

Azure Virtual Desktop-beräkningsresurser och -klienter kräver åtkomst till specifika offentliga slutpunkter, så de behöver internetbundna anslutningar. Nätverksscenarier, till exempel tvingad tunneltrafik för att förbättra säkerheten och filtreringen, stöds när Azure Virtual Desktop-kraven uppfylls.

Information om kraven för Azure Virtual Desktop-sessionsvärdar och klientenheter finns i Nödvändiga URL:er för Azure Virtual Desktop.

Port- och protokollkrav

Anslutningsmodellerna för Azure Virtual Desktop använder följande portar och protokoll:

• Standardmodell: 443/TCP
• RDP Shortpath-modell: 443/TCP och 3390/UDP eller 3478/UDP för STUN- eller TURN-protokollet

Affärskontinuitet och haveriberedskap

För affärskontinuitet och haveriberedskap krävs en viss nätverkskonfiguration. Mer specifikt använder du någon av följande konfigurationer för att distribuera och återställa resurser till en målmiljö:

• En nätverkskonfiguration med samma funktioner som den i källmiljön
• En nätverkskonfiguration som har anslutning till identitets- och DNS-tjänster

Nästa steg

Lär dig mer om resursorganisationen för ett scenario i företagsskala i Azure Virtual Desktop.

Resursorganisation