本文适用于 Microsoft 365 企业版和 Office 365 企业版。
在开始规划 Microsoft 365 网络连接的网络之前，请务必了解用于安全管理 Microsoft 365 流量并获得最佳性能的连接原则。 本文可帮助你了解有关安全优化 Microsoft 365 网络连接的最新指南。
传统的企业网络旨在为用户提供对由企业运营的数据中心中数据的访问权限，这些数据中心会采用强安全外围。 传统模型假设用户会在企业网络外围内，通过分支机构的广域网链接或通过 VPN 连接远程访问应用程序和数据。
采用诸如 Microsoft 365 之类的 SaaS 应用程序将一部分服务和数据组合移动到网络外围之外。 如果不进行优化，用户与 SaaS 应用程序之间的流量将受到包检查、网络环回、无意连接到地理距离遥远的终结点以及其他因素带来的延迟。 可通过理解和实现关键优化原则来确保最佳的 Microsoft 365 性能和可靠性。
在本文中，你将了解：
- 当应用于客户到云的连接时，Microsoft 365 的体系结构
- 更新版 Microsoft 365 连接原则和策略，帮助你优化网络流量和最终用户体验
- Microsoft 365 终结点 Web 服务，允许网络管理员使用用于网络优化的终结点的结构化列表
- 优化与 Microsoft 365 服务连接的指南
- 将网络外围安全与终结点安全进行比较
- Microsoft 365 流量增量优化选项
- Microsoft 365 连接测试，用于测试与 Microsoft 365 的基本连接的工具
Microsoft 365 体系结构
Microsoft 365 是一种分布式软件即服务 (SaaS) 云，通过一组不同的微服务和应用程序提供生产力和协作方案。 示例包括 Exchange Online、SharePoint Online、Microsoft Teams、浏览器中的 Office 等等。 虽然特定的 Microsoft 365 应用程序可能有其独特的功能（因为它适用于客户网络和云连接），但它们都共享一些关键主体、目标和体系结构模式。 这些连接原则和体系结构模式对于许多其他 SaaS 云来说是典型的。 同时，它们不同于平台即服务和基础结构即服务云（如 Microsoft Azure）的典型部署模型。
Microsoft 365 (最重要的架构特征之一经常被网络架构师忽略或误解，) 是，就用户连接方式而言，它是一个真正的全球分布式服务。 目标 Microsoft 365 租户的位置对于了解客户数据在云中的存储位置非常重要。 但是，用户使用 Microsoft 365 的体验并不涉及直接连接到包含数据的磁盘。 Microsoft 365 中的用户体验（包括性能、可靠性和其他重要的质量特征）涉及到通过高分布式服务前门实现连接，这些前门通过全球数百个 Microsoft 位置进行横向扩展。 在大多数情况下，通过允许客户网络将用户请求路由到最近的 Microsoft 365 服务入口点来实现最佳用户体验。 这比通过中心位置或区域的出口点连接到 Microsoft 365 更可取。
绝大多数客户的 Microsoft 365 用户分布在多个位置。 为了实现最佳结果，应从扩大 (而不是扩大的角度) 本文档中概述的原则来看待。 同时还专注于优化与 Microsoft 全球网络中最近的入网点的连接，而不是与 Microsoft 365 租户地理位置的连接。 实质上，这意味着即使 Microsoft 365 租户数据可能存储在特定地理位置，该租户的 Microsoft 365 体验仍保持分布式。 它可以位于网络 (非常接近) 租户拥有的每个最终用户位置的位置。
Microsoft 365 连接原则
Microsoft 建议按照以下原则获取最佳的 Microsoft 365 连接和性能。 使用这些 Microsoft 365 连接原则管理流量，并在连接到 Microsoft 365 时获得最佳性能。
网络设计中的主要目标是通过减少从您的网络到 Microsoft 全球网络、互连所有低延迟 Microsoft 数据中心的 Microsoft 公共主干网，以及遍布全球的应用程序入口点的往返时间 (RTT)，最大程度地降低延迟。 有关 Microsoft 全球网络的详细信息，请参阅 Microsoft 构建其快速可靠的全球网络。
识别并区分 Microsoft 365 流量
识别 Microsoft 365 网络流量是能够将该流量与一般 Internet 绑定网络流量区分开来的第一步。 可以通过实施网络路由优化、防火墙规则、浏览器代理设置等多种方法来优化 Microsoft 365 连接。 此外，绕过某些端点的网络检查设备也是有益的。
有关 Microsoft 365 优化方法的详细信息，请参阅 优化与 Microsoft 365 服务的连接 部分。
Microsoft 将所有 Microsoft 365 终结点发布为 Web 服务，并提供有关如何最佳使用此数据的指导。 有关如何提取和使用 Microsoft 365 终结点的详细信息，请参阅 Microsoft 365 URL 和 IP 地址范围一文。
实现本地连接出口
本地 DNS 和 Internet 出口对于减少连接延迟和确保用户连接到 Microsoft 365 服务最近的入口点至关重要。 在复杂的网络拓扑中，必须同时实现本地 DNS 和本地 Internet 出口。
在 Microsoft 365 等云服务出现之前，最终用户互联网连接作为网络架构中的一个设计因素相对简单。 当互联网服务和网站分布在全球时，公司出口点和任何给定目标端点之间的延迟很大程度上取决于地理距离。
在传统网络体系结构中，所有出站 Internet 连接都遍历公司网络，并从中心位置传出。 随着 Microsoft 的云产品/服务的成熟，面向 Internet 的分布式网络体系结构对于支持延迟敏感型云服务已变得至关重要。 “分布式服务前门”基础结构是一种动态结构，在全球拥有众多入口点，能够将流入的云服务连接路由到最近的入口点。而 Microsoft 全球网络正是采用该基础结构，以满足对于延迟的要求。 其目的是通过有效缩短客户和云服务之间的路线，减少 Microsoft 云客户“最后一公里”的长度。
企业 WAN 通常设计为在出口到 Internet 之前将网络流量回传到中央公司总部进行检查，通常通过一个或多个代理服务器。 下图说明了这种网络拓扑。
由于 Microsoft 365 在 Microsoft 全球网络（包括世界各地的前端服务器）上运行，因此通常会在用户位置附近有一个前端服务器。 通过提供本地 Internet 出口，并将内部 DNS 服务器配置为为 Microsoft 365 终结点提供本地名称解析，发往 Microsoft 365 的网络流量可以连接到尽可能靠近用户的 Microsoft 365 前端服务器。 下图显示了网络拓扑的示例，该拓扑允许用户从总公司、分支机构和远程位置连接，以遵循最短路由到达最近的 Microsoft 365 入口点。
通过这种方式缩短到 Microsoft 365 入口点的网络路径可以提高 Microsoft 365 中的连接性能和最终用户体验。 它还可以帮助减少将来对网络体系结构的更改对 Microsoft 365 性能和可靠性的影响。
此外，如果响应的 DNS 服务器距离太远或忙，则 DNS 请求会导致延迟。 可以通过在分支位置预配本地 DNS 服务器，并确保将其配置为适当地缓存 DNS 记录，来最大程度地减少名称解析延迟。
虽然区域出口适用于 Microsoft 365，但最佳连接模型是始终在用户的位置提供网络出口，无论是在公司网络上还是位于家庭、酒店、咖啡店和机场等远程位置。 下图显示了此本地直接出口模型。
已采用 Microsoft 365 的企业可通过确保用户连接到 Microsoft 365 采用尽可能最短的路线，连接到最近的 Microsoft 全球网络入口点，从而充分利用 Microsoft 全球网络分布式服务前门体系结构的优势。 本地出口网络体系结构实现此效果的方式为：无论用户在什么位置，都允许通过最近的出口来路由 Microsoft 365 流量。
与传统模型相比，本地出口体系结构具有以下优点：
- 通过优化线路长度，提供最佳 Microsoft 365 性能。 最终用户连接通过分布式服务前端基础结构动态路由到最近的 Microsoft 365 入口点。
- 通过允许本地出口，减轻公司网络基础结构负载。
- 使用客户端终结点安全性和云安全功能保护两端的连接。
避免网络回流
一般经验法则，用户和最近的 Microsoft 365 终结点之间最短、最直接的路由可提供最佳性能。 当绑定到特定目标的广域网或 VPN 通信首次定向到另一个中间位置（例如，安全堆栈、云访问代理、基于云的 web 网关的）时，会出现网络回流，导致延迟以及潜在重定向到地理位置较远的终结点。 路由/对等效率低下或远程) DNS 查找 (次优也是导致网络发夹造成的。
要确保即使在本地出口情况下，Microsoft 365 连接也不会受到网络发夹的影响，请检查用于为用户位置提供 Internet 出口的 ISP 是否与该位置附近的 Microsoft 全球网络有直接对等关系。 你可能还需要将出口路由配置为直接发送受信任的 Microsoft 365 流量。 这与通过处理 Internet 绑定流量的第三方云或基于云的网络安全供应商进行代理或隧道传输相反。 Microsoft 365 终结点的本地 DNS 名称解析有助于确保除直接路由外，最近的 Microsoft 365 入口点用于用户连接。
如果对 Microsoft 365 流量使用基于云的网络或安全服务，请确保评估发夹的结果，并了解其对 Microsoft 365 性能的影响。 为此，可以检查与分支机构和 Microsoft 全球网络对等互连点数量相关的流量转发服务提供商位置的数量和位置、服务提供商与 ISP 和 Microsoft 的网络对等关系的质量，以及服务提供商基础结构中回传的性能影响。
由于大量具有 Microsoft 365 入口点的分布式位置及其与最终用户的邻近性，因此如果提供商网络未配置为最佳 Microsoft 365 对等，则将 Microsoft 365 流量路由到任何第三方网络或安全提供商可能会对 Microsoft 365 连接产生不利影响。
评估跳过代理、流量检查设备以及重复安全技术
企业客户应查看其网络安全性和风险降低方法，尤其是针对 Microsoft 365 绑定流量，并使用 Microsoft 365 安全功能来降低对 Microsoft 365 网络流量的侵入性、性能影响和昂贵网络安全技术的依赖性。
大多数企业网络使用代理、TLS 检查、数据包检查和数据丢失防护系统等技术对 Internet 流量实施网络安全。 这些技术为一般 Internet 请求提供了重要的风险缓解措施，但当应用于 Microsoft 365 终结点时，可能会显著降低性能、可伸缩性和最终用户体验质量。
Microsoft 365 终结点 Web 服务
Microsoft 365 管理员可以使用脚本或 REST 调用从 Microsoft 365 终结点 Web 服务使用终结点的结构化列表，并更新外围防火墙和其他网络设备的配置。 这可确保识别、适当处理和管理流向一般且通常未知的 Internet 网站的网络流量，以不同于流向 Microsoft 365 的流量。 若要详细了解如何使用 Microsoft 365 终结点 Web 服务，请参阅 Microsoft 365 URL 和 IP 地址范围一文。
PAC（代理自动配置）脚本
Microsoft 365 管理员可以创建 PAC（代理自动配置）脚本，该脚本可通过 WPAD 或 GPO 传送到用户计算机。 PAC 脚本可用于绕过 WAN 或 VPN 用户的 Microsoft 365 请求代理，从而允许 Microsoft 365 流量使用直接 Internet 连接，而不是遍历公司网络。
有关使用 PAC 文件优化客户端设备上的网络连接的详细信息，请参阅 管理 Microsoft 365 终结点。
Microsoft 365 安全功能
Microsoft 对数据中心安全、运营安全、Microsoft 365 服务器附近的风险降低及其代表的网络终结点保持透明。 Microsoft 365 内置安全功能可用于降低网络安全风险，例如 Microsoft Purview 数据丢失防护、防病毒、多重身份验证、客户密码箱、Defender for Office 365、Microsoft 365 威胁智能、Microsoft 365 安全功能分数、所有云邮箱的内置安全功能和网络 DDOS 安全性。
有关 Microsoft 数据中心和全球网络安全性的详细信息，请参阅 Microsoft 信任中心。
优化与 Microsoft 365 服务的连接
Microsoft 365 服务是动态、相互依赖和深度集成的产品、应用程序和服务的集合。 在配置和优化与 Microsoft 365 服务的连接时，无法将特定终结点 (域) 与一些 Microsoft 365 方案链接，以在网络级别实现允许列表。 Microsoft 不支持选择性允许列表，因为它会导致用户连接和服务事件。 因此Microsoft网络管理员应始终将网络允许列表和常见网络优化的 365 准则应用于定期 发布 和更新的全套必需网络终结点 (域) 。 虽然我们正在根据客户反馈简化 Microsoft 365 网络终结点，但网络管理员目前应注意现有终结点集中的以下核心模式：
- 在可能的情况下，已发布的域终结点将包含通配符，以显著降低客户的网络配置工作量。
- Microsoft 365 宣布 (cloud.microsoft) 实施域合并计划，为客户提供一种简化其网络配置的方法，并自动将此域的网络优化应用于许多当前和未来的 Microsoft 365 服务。
- 将 cloud.microsoft 根域独占用于安全隔离和特定功能。 这样，客户网络和安全团队能够信任 Microsoft 365 域，同时改善与这些终结点的连接并避免不必要的网络安全处理。
- 某些终结点定义指定与其域相对应的唯一 IP 前缀。 此功能支持具有复杂网络结构的客户，使他们能够利用 IP 前缀详细信息应用精确的网络优化。
对于所有 必需 的 Microsoft 365 网络终结点 (域) 和类别，建议使用以下网络配置：
- 明确允许在用户连接 (通过的网络设备和服务（例如，代理、防火墙、DNS、基于云的网络安全解决方案等网络外围安全设备）中Microsoft 365 网络终结点 )
- 绕过 Microsoft 365 域的 TLS 解密、流量拦截、深度数据包检查以及网络数据包和内容筛选。 请注意，客户在不受信任/未托管的应用程序环境中使用这些网络技术实现的许多结果都可以通过 Microsoft 365 安全功能实现本机。
- 通过减少对广域网 (WAN) 回传的依赖、避免网络发夹以及实现更高效的 Internet 出口到用户本地和直接到 Microsoft 网络，应优先考虑 Microsoft 365 域的直接 Internet 访问。
- 确保 DNS 名称解析在网络出口附近进行，以确保通过最佳 Microsoft 365 Front Door 为连接提供服务。
- 确定网络路径上 Microsoft 365 连接的优先级，确保 Microsoft 365 体验的容量和服务质量。
- 绕过代理和 VPN 服务等流量中介设备。
Microsoft 365 连接指南围绕基于域的终结点识别而设计。 Microsoft 建议使用通过以下渠道提供的 https://aka.ms/m365endpoints 已发布域终结点数据作为 Microsoft 365 网络配置、允许列表和连接优化的主要源。
具有复杂网络拓扑的一些客户可能还使用已发布的 IP 前缀数据（如果可用）来支持特定的网络优化，例如自定义路由、拆分通道 VPN 和代理绕过。 尽管 Microsoft 发布了某些 Microsoft 365 服务的 IP 前缀，但许多云服务终结点本质上是动态的，其关联的 IP 地址可能会随时间变化。 对于这些端点，仅发布基于域的端点数据，而不提供相应的 IP 地址信息。
其他网络注意事项
优化与 Microsoft 365 的连接时，某些网络配置可能会对 Microsoft 365 的可用性、互操作性、性能和用户体验产生负面影响。 Microsoft 尚未使用我们的服务测试以下网络方案，并且已知它们会导致连接问题。
- 使用客户代理或其他类型的网络设备或服务对任何 Microsoft 365 域进行 TLS 终止或深度数据包检查。
- 通过中间网络基础结构或服务阻止特定协议或协议版本，例如 QUIC、WebSocket 等。
- 强制降级或故障转移 UDP --> TCP、TLS1.3 --> TLS1.2 -> - TLS1.1 等协议 () 在客户端应用程序和 Microsoft 365 服务之间使用。
- 通过应用自己的身份验证（例如代理身份验证）的网络基础结构路由连接。
建议客户避免使用这些网络技术对发往 Microsoft 365 域的流量进行流量，并为 Microsoft 365 连接绕过这些技术。
Microsoft 建议设置自动化系统以定期下载和应用 Microsoft 365 网络终结点列表。 有关详细信息，请参阅 Microsoft 365 IP 地址和 URL 的更改管理 。
将网络外围安全与终结点安全进行比较
传统的网络安全的目标是强化公司网络外围，防范入侵和恶意漏洞。 随着组织采用 Microsoft 365，部分网络服务和数据被部分或完全迁移到云。 正如对网络体系结构的进行任何基础更改，此过程需考虑到新兴因素，对网络安全进行重新评估：
- 随着采用云服务，网络服务和数据分布在本地数据中心和云之间，而外围安全不再足以满足新的需求。
- 远程用户连接到本地数据中心中的公司资源和云中来自不受控制的位置（如家中、酒店和咖啡店）。
- 专门构建的安全功能越来越多地内置到了云服务中，并可以补充或替换现有安全系统。
Microsoft 提供了一系列 Microsoft 365 安全功能，并提供了采用安全性最佳做法的规范性指南，可帮助你确保 Microsoft 365 的数据和网络安全。 建议的最佳做法包括：
在 MFA) (使用多重身份验证 MFA 通过要求用户在正确输入密码后在智能手机上确认电话、短信或应用程序通知，为强密码策略添加了额外的保护层。
使用 Microsoft Defender for Cloud Apps 配置策略以跟踪异常活动并做出应对。 使用 Microsoft Defender for Cloud Apps 设置警报，以便管理员可以查看异常或有风险的用户活动，例如下载大量数据、多次失败的登录尝试或来自未知或危险 IP 地址的连接。
配置数据丢失防护 (DLP) DLP 可用于识别敏感数据并创建有助于防止用户意外或有意共享数据的策略。 DLP 可跨 Microsoft 365 服务进行工作，包括 Exchange Online、SharePoint Online 和 OneDrive，以便你的用户在不中断工作流的情况下保持合规。
使用客户密钥箱 作为 Microsoft 365 管理员，你可以使用客户密码箱来控制 Microsoft 技术支持工程师在帮助会话期间访问你数据的方式。 如果工程师需要访问您的数据以进行故障排除和解决问题，那么您可以使用客户锁箱批准或拒绝该访问请求。
使用安全分数
一种安全分析工具，可建议您可以采取哪些措施来进一步降低风险。 安全功能分数会查看你的 Microsoft 365 设置和活动，并将它们与 Microsoft 建立的基线进行比较。 根据您与最佳安全实践的一致性来获得分数。
要想全面提升安全性，则需要考虑以下方面：
- 通过应用基于云的和 Office 客户端安全功能，从关注周边安全转向关注终结点安全。
- 将安全外围缩小到数据中心
- 为在办公室或远程位置的用户设备启用同等信任
- 重点关注保护数据位置和用户位置
- 托管的用户计算机比终结点安全拥有更高的信任级别
- 全面管理所有信息安全，而不只是专注于外围
- 通过允许受信任的流量绕过安全设备，并将非托管设备与来宾 Wi-Fi 网络分隔，来重新定义广域网并构建外围网络安全
- 降低公司广域网边缘的网络安全要求
- 仍需要某些网络外围安全设备（例如，防火墙），但负载降低了
- 确保 Microsoft 365 流量的本地出口
- 可按照增量优化章节中的说明逐步解决改进。 根据网络架构，某些优化技术可能会提供更好的成本效益比，您应该选择对您的组织最有意义的优化。
更多有关 Microsoft 365 安全性和合规性的信息，请参阅 Microsoft 365 安全 和 Microsoft Purview 的文章。
增量优化
本文前面已经介绍了 SaaS 的理想网络连接模型，但对于许多具有历史复杂网络架构的大型组织来说，直接进行所有这些更改并不现实。 在本节中，我们将讨论有助于提高 Microsoft 365 性能和可靠性的许多增量更改。
用于优化 Microsoft 365 流量的方法因网络拓扑和已实施的网络设备而异。 具有多个位置和复杂网络安全实践的大型企业需要制定一个策略，其中包含 Microsoft 365 连接原则 部分中列出的大部分或所有原则，而较小的组织可能只需要考虑一两个原则。
可采用递增的方式进行优化，即依次应用每个方法。 下表列出了关键优化方法，按这些方法对大多数用户的延迟和可靠性的影响顺序。
| 优化方法 | 说明 | 影响 |
|---|---|---|
| 本地 DNS 解析和 Internet 出口 | 在每个位置预配本地 DNS 服务器，并确保 Microsoft 365 连接传出到 Internet 时尽可能靠近用户的位置。 | 最小化延迟 提升与最近的 Microsoft 365 入口点的可靠连接 |
| 添加区域出口点 | 如果公司网络有多个位置，但仅有一个出口点，则添加区域出口点可让用户能够连接到最近的 Microsoft 365 入口点。 | 最小化延迟 提升与最近的 Microsoft 365 入口点的可靠连接 |
| 跳过代理和检查设备 | 将带 PAC 文件的浏览器配置为直接向出口点发送 Microsoft 365 请求。 配置边缘路由器和防火墙，无需检查即可允许 Microsoft 365 流量。 |
最小化延迟 减少网络设备负载 |
| 为 VPN 用户启用直接连接 | 对于 VPN 用户，可通过实现拆分隧道来启用 Microsoft 365 连接，直接从用户的网络进行连接，而不是通过 VPN 隧道。 | 最小化延迟 提升与最近的 Microsoft 365 入口点的可靠连接 |
| 从传统广域网迁移到 SD 广域网 | SD 广域网（软件定义的广域网）通过将传统广域网路由器替换为虚拟设备（类似于使用虚拟机 (VM) 实现计算资源的虚拟化），简化广域网管理并提高性能。 | 改善广域网流量的性能和可管理性 减少网络设备负载 |