Share via

Azure 虛擬桌面的 RDP Shortpath

  • 發行項

重要

在 Azure 虛擬桌面中，透過 TURN 使用適用於公用網路的 RDP Shortpath 目前為預覽狀態。 請參閱 Microsoft Azure 預覽版增補使用規定，以了解適用於 Azure 功能 (搶鮮版 (Beta)、預覽版，或尚未正式發行的版本) 的法律條款。

Azure 虛擬桌面的連線會使用傳輸控制通訊協定 (TCP) 或使用者資料包通訊協定 (UDP)。 RDP Shortpath 是 Azure 虛擬桌面的功能，可在支援的 Windows 遠端桌面客戶端與工作階段主機之間建立直接 UDP 型傳輸。 根據預設，遠端桌面通訊協定 (RDP) 會嘗試使用 UDP 建立連線，並使用以 TCP 為基礎的反向連線傳輸作為後援連線機制。 以 TCP 為基礎的反向連線傳輸可提供與各種網路設定之間的最佳相容性，並具有建立 RDP 連線的高成功率。 以 UDP 為基礎的傳輸可提供更好的連線可靠性和更一致的延遲。

RDP Shortpath 可以透過兩種方式使用：

  1. 受控網路，其中使用私人連線時，用戶端與工作階段主機之間會建立直接連線，例如虛擬私人網路 (VPN)。

  2. 公用網路，使用公用連線時，用戶端與工作階段主機之間會建立直接連線。 使用公用連線時有兩種連線類型，如下所示 (依偏好設定排序)：

    1. 在用戶端和工作階段主機之間使用 Simple Traversal Underneath NAT (STUN) 通訊協定的「直接」UDP 連線。

    2. 在用戶端和工作階段主機之間搭配轉送使用 Traversal Using Relay NAT (TURN) 通訊協定的「間接」UDP 連線。 此功能目前處於預覽狀態。

用於 RDP Shortpath 的傳輸是以通用速率控制通訊協定 (URCP) 為基礎。 URCP 透過主動監視網路條件來增強 UDP，並提供公平且完整的連結使用率。 URCP 會視需要以低延遲和損耗等級運作。

重要

  • 在預覽期間，TURN 僅供驗證主機集區中工作階段主機的連線使用。 若要將主機集區設定為驗證環境，請參閱 將主機集區定義為驗證環境。

  • 適用於使用 TURN 之公用網路的 RDP Shortpath 只能在 Azure 公用雲端中使用。

重點優勢

使用 RDP Shortpath 有下列主要優點：

  • 使用 URCP 來加強 UDP，可透過動態學習網路參數並提供具有速率控制機制的通訊協定來實現最佳效能。

  • 移除額外的轉送點可減少來回時間，這可改善連線可靠性，以及對延遲敏感的應用程式和輸入方法的使用者體驗。

  • 此外，針對受控網路：

    • RDP Shortpath 支援透過區別服務代碼點 (DSCP) 標記來為 RDP 連線設定服務品質 (QoS) 優先順序。

    • RDP Shortpath 傳輸允許藉由為每個工作階段指定節流速率來限制輸出網路流量。

RDP Shortpath 的運作方式

若要了解 RDP Shortpath 如何適用於受控網路和公用網路，請選取下列每個索引標籤。

您可以使用下列方法，來實現使用 RDP Shortpath 搭配受控網路所需的直接視線連線。

具有直接的視線連線表示，用戶端可以直接連線到工作階段主機，而不會遭到防火牆封鎖。

注意

如果您使用其他 VPN 類型來連線到 Azure 入口網站，建議使用 UDP 型 VPN。 雖然大部分的 TCP 型 VPN 解決方案都支援巢狀 UDP，但其會增加 TCP 壅塞控制的繼承額外負荷，因而降低 RDP 效能。

若要使用受控網路的 RDP Shortpath，您必須在工作階段主機上啟用 UDP 接聽程式。 根據預設，雖會使用連接埠 3390，但您可以使用不同的連接埠。

下圖提供在針對已加入 Active Directory 網域的受控網路和工作階段主機使用 RDP Shortpath 時，網路連線的高階概觀。

Diagram of network connections when using RDP Shortpath for managed networks.

連線序列

所有連線一開始都會透過 Azure 虛擬桌面閘道建立 TCP 型反向連線傳輸。 然後，用戶端和工作階段主機會建立初始 RDP 傳輸，並開始交換其功能。 這些功能是使用下列流程進行交涉：

  1. 工作階段主機會將其 IPv4 和 IPv6 位址的清單傳送至用戶端。

  2. 用戶端會啟動背景執行緒，以直接建立平行 UDP 型傳輸至其中一個工作階段主機的 IP 位址。

  3. 當用戶端探查所提供的 IP 位址時，其會繼續透過反向連線傳輸建立初始連線，以確保使用者連線不會延遲。

  4. 如果用戶端可以直接連線至工作階段主機，則用戶端會透過可靠的 UDP 使用 TLS 建立安全連線。

  5. 在建立 RDP Shortpath 傳輸之後，所有動態虛擬通道 (DVC)，包括遠端圖形、輸入和裝置重新導向，都會移至新的傳輸。 不過，如果防火牆或網路拓撲防止用戶端建立直接 UDP 連線，則 RDP 會繼續進行反向連線傳輸。

如果您的使用者同時具有受控網路和公用網路的 RDP Shortpath 可供其使用，則系統會使用第一個找到的演算法。 使用者將使用該工作階段第一個建立的連線。

連線安全性

RDP Shortpath 會擴充 RDP 多重傳輸功能。 其不會取代反向連線傳輸，而是進行補充。 初始工作階段代理是透過 Azure 虛擬桌面服務和反向連線傳輸來管理。 除非所有連線嘗試首先符合反向連線工作階段，否則系統會忽略這些連線嘗試。 RDP Shortpath 會在驗證之後建立，而且若成功建立，則會捨棄反向連線傳輸，且所有流量都會流經 RDP Shortpath。

RDP Shortpath 會透過可靠的 UDP 使用 TLS，在用戶端與使用工作階段主機憑證的工作階段主機之間使用安全連線。 根據預設，用於 RDP 加密的憑證會在部署期間由作業系統自行產生。 您也可以集中部署由企業憑證授權單位所核發的受控憑證。 如需憑證設定的詳細資訊，請參閱遠端桌面接聽程式憑證設定。

注意

RDP Shortpath 所提供的安全性與 TCP 反向連線傳輸所提供的安全性相同。

範例案例

以下是一些範例案例，示範如何評估連線，以決定是否跨不同網路拓撲使用 RDP Shortpath。

實例 1

UDP 連線只能透過公用網路 (網際網路) 在用戶端裝置與工作階段主機之間建立。 無法使用直接連線，例如 VPN。 UDP 可允許通過防火牆或 NAT 裝置。

Diagram that shows RDP Shortpath for public networks uses STUN.

案例 2

防火牆或 NAT 裝置將會封鎖直接 UDP 連線，但間接 UDP 連線可以透過公用網路 (網際網路) 使用 TURN 在用戶端裝置與工作階段主機之間轉送。 無法使用另一個直接連線，例如 VPN。

Diagram that shows RDP Shortpath for public networks uses TURN.

案例 3

您可以透過公用網路或直接 VPN 連線在用戶端裝置與工作階段主機之間建立 UDP 連線，但受控網路的 RDP Shortpath 不會啟用。 當用戶端起始連線時，ICE/STUN 通訊協定可以看到多個路由，並評估每個路由，然後選擇延遲最低的路由。

此範例會透過直接 VPN 連線使用公用網路的 RDP Shortpath 建立 UDP 連線，因為其具有最低的延遲，如綠線所示。

Diagram that shows a UDP connection using RDP Shortpath for public networks over the direct VPN connection will be made as it has the lowest latency.

案例 4

適用於公用網路和受控網路的 RDP Shortpath 都會啟用。 您可以透過公用網路或直接 VPN 連線在用戶端裝置與工作階段階段主機之間建立 UDP 連線。 當用戶端起始連線時，適用於受控網路的 RDP Shortpath 會透過連接埠 3390 嘗試連線，與此同時，適用於公用網路的 RDP Shortpath 也會透過 ICE/STUN 通訊協定嘗試連線。 將會使用第一個找到的演算法，而且使用者將會使用該工作階段第一個建立的連線。

由於通過公用網路有更多步驟，例如 NAT 裝置、負載平衡器或 STUN 伺服器，因此第一個找到的演算法可能會使用受控網路的 RDP Shortpath 選取連線，並優先建立。

Diagram that shows the first-found algorithm will select the connection using RDP Shortpath for managed networks and be established first.

案例 5

您可以透過公用網路或直接 VPN 連線在用戶端裝置與工作階段主機之間建立 UDP 連線，但受控網路的 RDP Shortpath 不會啟用。 若要防止 ICE/STUN 使用特定路由，管理員可以封鎖其中一個 UDP 流量的路由。 封鎖路由可確保一律使用其餘路徑。

在此範例中，UDP 會在直接 VPN 連線遭到封鎖，而 ICE/STUN 通訊協定會透過公用網路建立連線。

Diagram that shows UDP is blocked on the direct VPN connection and the ICE/STUN protocol establishes a connection over the public network.

案例 6

公用網路和受控網路的 RDP Shortpath 都已設定，但無法使用直接 VPN 連線來建立 UDP 連線。 防火牆或 NAT 裝置也將會封鎖使用公用網路 (網際網路) 的直接 UDP 連線，但間接 UDP 連線可以透過公用網路 (網際網路) 使用 TURN 在用戶端裝置與工作階段主機之間轉送。

Diagram that shows UDP is blocked on the direct VPN connection and a direct connection using a public network also fails. TURN relays the connection over the public network.

案例 7

公用網路和受控網路的 RDP Shortpath 都已設定，但無法建立 UDP 連線。 在此例子中，RDP Shortpath 將會失敗，而且連線將會回復為 TCP 型反向連線傳輸。

Diagram that shows a UDP connection couldn't be established. In this instance, RDP Shortpath will fail and the connection will fall back to TCP-based reverse connect transport.

下一步