Azure Sanal Masaüstü ağ bağlantısını anlama

Azure Sanal Masaüstü, Azure üzerinde çalışan oturum konaklarında istemci oturumlarını barındırıyor. Microsoft, hizmetlerin bazı bölümlerini müşteri adına yönetir ve istemcileri ve oturum konaklarını bağlamak için güvenli uç noktalar sağlar. Aşağıdaki diyagramda Azure Sanal Masaüstü tarafından kullanılan ağ bağlantılarına üst düzey bir genel bakış sunun.

sanal masaüstü ağ bağlantıları Azure diyagramı

Oturum bağlantısı

Azure Sanal Masaüstü, ağ bağlantıları üzerinden uzak görüntü ve giriş özellikleri sağlamak için Uzak Masaüstü Protokolü'nü (RDP) kullanır. RDP, her Microsoft Windows ve Windows Server sürümüyle sürekli olarak geliştirilmiştir. Başlangıçtan itibaren RDP, temel alınan aktarım yığınından bağımsız olacak şekilde geliştirilmiştir ve bugün birden çok aktarım türünü desteklemektedir.

Ters bağlantı aktarımı

Azure Sanal Masaüstü, uzak oturumu oluşturmak ve RDP trafiğini taşımak için ters bağlantı aktarımını kullanıyor. Şirket içi Uzak Masaüstü Hizmetleri dağıtımlarından farklı olarak, ters bağlantı aktarımı gelen RDP bağlantılarını almak için TCP dinleyicisi kullanmaz. Bunun yerine, HTTPS bağlantısı üzerinden Azure Sanal Masaüstü altyapısına giden bağlantı kullanıyor.

Oturum konağı iletişim kanalı

Azure Sanal Masaüstü oturum konağı başlatıldığında, Uzak Masaüstü Aracısı Yükleyici hizmeti Azure Sanal Masaüstü aracısının kalıcı iletişim kanalını oluşturur. Bu iletişim kanalı güvenli bir Aktarım Katmanı Güvenliği (TLS) bağlantısının üzerine yerleştirilir ve oturum konağı ile sanal masaüstü altyapısı Azure arasında hizmet iletisi değişimi için bir veri yolu görevi görür.

İstemci bağlantı dizisi

İstemci bağlantı dizisi aşağıdaki gibidir (adımlar Azure Genel Bulut dışında farklılık gösterebilir):

  1. Desteklenen Azure Sanal Masaüstü istemci kullanıcısı kullanılarak Azure Sanal Masaüstü Çalışma Alanı'na abone olur.

  2. Microsoft Entra kullanıcının kimliğini doğrular ve bir kullanıcının kullanabileceği kaynakları listelemek için kullanılan belirteci döndürür.

  3. İstemci, belirteci Azure Sanal Masaüstü akışı abonelik hizmetine geçirir.

  4. Azure Sanal Masaüstü akışı abonelik hizmeti belirteci doğrular.

  5. Azure Sanal Masaüstü akışı abonelik hizmeti, kullanılabilir masaüstü ve uygulamaların listesini dijital olarak imzalanan bağlantı yapılandırması biçiminde istemciye geri geçirir.

  6. İstemci, kullanılabilir her kaynak için bağlantı yapılandırmasını bir dosya kümesinde .rdp depolar.

  7. Genel Bulut bağlantılarında, kullanıcı bağlanacak kaynağı seçtiğinde, istemci ilişkili .rdp dosyayı kullanır ve Azure Front Door yardımıyla Azure Sanal Masaüstü ağ geçidi örneğine güvenli bir TLS bağlantısı kurar ve bağlantı bilgilerini geçirir. Tüm ağ geçitlerinden gelen gecikme süresi değerlendirilir ve ağ geçitleri 10 ms'lik gruplara alınır. En düşük gecikme süresine ve daha sonra mevcut bağlantı sayısı en düşük olan ağ geçidi seçilir. Diğer bulutlar bu adım için Azure Traffic Manager kullanabilir.

  8. Azure Sanal Masaüstü ağ geçidi isteği doğrular ve Azure Sanal Masaüstü aracısının bağlantıyı düzenlemesini ister.

  9. Azure Sanal Masaüstü aracısı oturum ana bilgisayarını tanımlar ve bağlantıyı başlatmak için önceden oluşturulmuş kalıcı iletişim kanalını kullanır.

  10. Uzak Masaüstü yığını, istemci tarafından kullanılan Azure Sanal Masaüstü ağ geçidi örneğine bir TLS bağlantısı başlatır.

  11. Ağ geçidine hem istemci hem de oturum ana bilgisayarı bağlandıktan sonra, ağ geçidi verileri her iki uç nokta arasında aktarmaya başlar. Bu bağlantı, istemci ve oturum konağı arasında desteklenen ve etkinleştirilen karşılıklı olarak kabul edilen TLS sürümünü (TLS 1.3'e kadar) kullanarak iç içe bir tünel aracılığıyla RDP bağlantısı için temel ters bağlantı aktarımını kurar.

  12. Temel aktarım ayarlandıktan sonra istemci RDP el sıkışmasını başlatır.

Bağlantı güvenliği

TLS tüm bağlantılar için kullanılır. Kullanılan sürüm, hangi bağlantının yapıldığına ve istemci ile oturum ana bilgisayarının özelliklerine bağlıdır:

  • İstemcilerden ve oturum konaklarından Azure Sanal Masaüstü altyapısı bileşenlerine başlatılan tüm bağlantılar için TLS 1.2 en düşük değerdir ve istemci işletim sistemi destekliyorsa TLS 1.3 kullanılabilir. Azure Sanal Masaüstü, Azure Front Door ile aynı TLS 1.2 veya 1.3 şifrelerini kullanır. Hem istemci bilgisayarların hem de oturum konaklarının bu şifreleri kullanabilmesini sağlamak önemlidir.

  • Ters bağlantı aktarımı için hem istemci hem de oturum ana bilgisayarı Azure Sanal Masaüstü ağ geçidine bağlanır. Temel aktarım için TCP bağlantısı kurulduktan sonra istemci veya oturum konağı sanal masaüstü ağ geçidinin sertifikasını Azure doğrular. RDP daha sonra oturum konağı sertifikalarını kullanarak istemci ve oturum konağı arasında iç içe TLS bağlantısı kurar. TLS sürümü, istemci ve oturum konağı arasında desteklenen ve etkinleştirilen, TLS 1.3'e kadar karşılıklı olarak kabul etmiş TLS sürümünü kullanır. TLS 1.3, Windows 11 (21H2) ve Windows Server 2022'den başlayarak desteklenir. Daha fazla bilgi için bkz. WINDOWS 11 TLS desteği. Diğer işletim sistemleri için TLS 1.3 desteği için işletim sistemi satıcısına başvurun.

Varsayılan olarak, RDP şifrelemesi için kullanılan sertifika dağıtım sırasında işletim sistemi tarafından kendi kendine oluşturulur. Azure Sanal Masaüstü şu anda bir sertifika yetkilisinden verilen bir sertifikanın kullanımını desteklemez.

Sonraki adımlar

  • Last updated on