RDP Shortpath for Azure Virtual Desktop

Az RDP Shortpath felügyelt hálózatokkal való használatához szükséges közvetlen látóvonal-kapcsolatot az alábbi módszerekkel érheti el.

• ExpressRoute privát társviszony-létesítés

• Helyek közötti vagy pont–hely VPN (IPsec), például Azure VPN Gateway

A közvetlen látóvonal-kapcsolat azt jelenti, hogy az ügyfél közvetlenül csatlakozhat a munkamenet-gazdagéphez anélkül, hogy tűzfalak blokkolják.

Az RDP Shortpath felügyelt hálózatokhoz való használatához engedélyeznie kell egy UDP-figyelőt a munkamenet-gazdagépeken. Alapértelmezés szerint a 3390-s portot használja a rendszer, bár más portot is használhat.

Az alábbi ábra magas szintű áttekintést nyújt a hálózati kapcsolatokról az RDP Shortpath active Directory-tartományhoz csatlakoztatott felügyelt hálózatokhoz és munkamenet-gazdagépekhez való használatakor.

Kapcsolatütemezés

Minden kapcsolat egy TCP-alapú fordított kapcsolat átvitelének létrehozásával kezdődik az Azure Virtual Desktop Gatewayen keresztül. Ezután az ügyfél és a munkamenet-gazdagép létrehozza a kezdeti RDP-átvitelt, és megkezdi a képességeik cseréjét. Ezeket a képességeket a következő eljárással tárgyaljuk meg:

1. A munkamenet-gazdagép elküldi az IPv4- és IPv6-címeinek listáját az ügyfélnek.

2. Az ügyfél elindítja a háttérszálat, hogy egy párhuzamos UDP-alapú átvitelt hozzon létre közvetlenül a munkamenet-gazdagép IP-címére.

3. Bár az ügyfél a megadott IP-címeket űzi, továbbra is létrehozza a kezdeti kapcsolatot a fordított kapcsolat átvitelén keresztül, hogy ne legyen késés a felhasználói kapcsolatban.

4. Ha az ügyfél közvetlen kapcsolatban áll a munkamenet-gazdagéppel, az ügyfél biztonságos kapcsolatot létesít tLS használatával megbízható UDP-kapcsolaton keresztül.

5. Az RDP Shortpath-átvitel létrehozása után a rendszer az összes dinamikus virtuális csatornát (DVC-t) áthelyezi az új átvitelbe, beleértve a távoli grafikus elemeket, a bemenetet és az eszközátirányítást. Ha azonban egy tűzfal vagy hálózati topológia megakadályozza, hogy az ügyfél közvetlen UDP-kapcsolatot létesítsen, az RDP fordított kapcsolatú átvitelsel folytatódik.

Ha a felhasználók rdp shortpath-tal rendelkeznek a felügyelt hálózatokhoz és a nyilvános hálózatokhoz, akkor a rendszer az elsőként talált algoritmust fogja használni. A felhasználó azt fogja használni, amelyik először létrejön az adott munkamenethez.

Annak érdekében, hogy az UDP-kapcsolat sikeres legyen a nyilvános kapcsolat használatakor, a közvetlen és a továbbított kapcsolattípusok a következők:

• Közvetlen kapcsolat: A STUN használatával közvetlen UDP-kapcsolatot hozhat létre az ügyfél és a munkamenet-gazdagép között. A kapcsolat létrehozásához az ügyfélnek és a munkamenet-gazdagépnek képesnek kell lennie arra, hogy nyilvános IP-címen és egyeztetett porton keresztül csatlakozzon egymáshoz. A legtöbb ügyfél azonban nem ismeri a saját nyilvános IP-címét, mivel egy hálózati címfordítási (NAT) átjáróeszköz mögött ül. A STUN egy protokoll egy nyilvános IP-cím NAT-átjáróeszköz és az ügyfél mögötti önfelderítéséhez, amely meghatározza a saját nyilvános IP-címét.

  Ahhoz, hogy egy ügyfél használhassa az STUN-t, a hálózatának engedélyeznie kell az UDP-forgalmat. Feltéve, hogy az ügyfél és a munkamenet-gazdagép közvetlenül a másik felderített IP-címére és portjára tud irányítani, a kommunikáció a WebSocket protokollon keresztül közvetlen UDP-vel jön létre. Ha tűzfalak vagy más hálózati eszközök blokkolják a közvetlen kapcsolatokat, a rendszer megpróbál továbbadni egy UDP-kapcsolatot.

• Továbbított kapcsolat: A TURN egy kapcsolat létrehozásához használható, amely egy köztes kiszolgálón keresztüli forgalmat helyez át egy ügyfél és a munkamenet-gazdagép között, ha közvetlen kapcsolat nem lehetséges. A TURN a STUN kiterjesztése. A TURN használata azt jelenti, hogy a nyilvános IP-cím és a port előre ismert, amely tűzfalakon és más hálózati eszközökön keresztül engedélyezhető.

  Ha tűzfalak vagy más hálózati eszközök blokkolják az UDP-forgalmat, a kapcsolat visszaesik egy TCP-alapú fordított kapcsolati átvitelre.

A kapcsolat létrehozásakor az Interaktív kapcsolatlétrehozás (ICE) koordinálja a STUN és a TURN kezelését a kapcsolat létrehozásának valószínűségének optimalizálása érdekében, és biztosítja, hogy az előnyben részesített hálózati kommunikációs protokollok elsőbbséget élvezhessenek.

Minden RDP-munkamenet dinamikusan hozzárendelt UDP-portot használ egy rövid élettartamú porttartományból (alapértelmezés szerint 49152 és 65535 között), amely elfogadja az RDP Shortpath-forgalmat. A 65330-as port figyelmen kívül lesz hagyva ebből a tartományból, mivel az Azure belső használatra van fenntartva. Kisebb, kiszámítható porttartományt is használhat. További információ: Az ügyfelek által a nyilvános hálózatokhoz használt porttartomány korlátozása.

Az alábbi ábra magas szintű áttekintést nyújt a hálózati kapcsolatokról az RDP Shortpath nyilvános hálózatokhoz való használatakor, ahol a munkamenet-gazdagépek csatlakoztak a Microsoft Entra-azonosítóhoz.

TURN relay rendelkezésre állása

A TURN relay az alábbi Azure-régiókban érhető el:

A TURN relay az ügyféleszköz fizikai helye alapján van kiválasztva. Ha például egy ügyféleszköz az Egyesült Királyságban található, a turn relay az Egyesült Királyság déli vagy nyugati régiójában van kiválasztva. Ha egy ügyféleszköz távol áll a TURN-továbbítótól, előfordulhat, hogy az UDP-kapcsolat visszaesik a TCP-re.

Hálózati címfordítás és tűzfalak

A legtöbb Azure Virtual Desktop-ügyfél a magánhálózaton lévő számítógépeken fut. Az internet-hozzáférést hálózati címfordítási (NAT) átjáróeszköz biztosítja. Ezért a NAT-átjáró módosítja a magánhálózattól érkező és az internetre irányuló összes hálózati kérést. Az ilyen módosítás egyetlen nyilvános IP-címet kíván megosztani a magánhálózat összes számítógépén.

Az IP-csomag módosítása miatt a forgalom címzettje a NAT-átjáró nyilvános IP-címét fogja látni a tényleges feladó helyett. Amikor a forgalom visszakerül a NAT-átjáróra, gondoskodni fog róla, hogy a feladó tudta nélkül továbbítsa azt a címzettnek. A legtöbb esetben az ilyen NAT mögött elrejtett eszközök nem tudják, hogy a fordítás történik, és nem ismerik a NAT-átjáró hálózati címét.

A NAT azon Azure-beli virtuális hálózatokra vonatkozik, ahol az összes munkamenet-állomás található. Amikor egy munkamenet-gazdagép megpróbálja elérni a hálózati címet az interneten, a NAT Gateway (az Azure által biztosított saját vagy alapértelmezett) vagy az Azure Load Balancer elvégzi a címfordítást. A forráshálózati címfordítás különböző típusairól további információt a Kimenő kapcsolatok forráshálózati címfordítás (SNAT) használata című témakörben talál.

A legtöbb hálózat általában tűzfalakat tartalmaz, amelyek ellenőrzik a forgalmat, és szabályok alapján blokkolják azt. A legtöbb ügyfél úgy konfigurálja a tűzfalakat, hogy megakadályozza a bejövő kapcsolatokat (azaz kérés nélkül küldött, kéretlen csomagokat az internetről). A tűzfalak különböző technikákat alkalmaznak az adatfolyam nyomon követésére a kért és a kéretlen forgalom megkülönböztetése érdekében. A TCP kontextusában a tűzfal nyomon követi a SYN- és ACK-csomagokat, és a folyamat egyszerű. Az UDP-tűzfalak általában csomagcímeken alapuló heurisztikus megoldásokat használnak a forgalom UDP-folyamatokhoz való társításához és engedélyezéséhez vagy letiltásához. Számos különböző NAT-implementáció érhető el.

Kapcsolatütemezés

Minden kapcsolat egy TCP-alapú fordított kapcsolat átvitelének létrehozásával kezdődik az Azure Virtual Desktop Gatewayen keresztül. Ezután az ügyfél és a munkamenet-gazdagép létrehozza a kezdeti RDP-átvitelt, és megkezdi a képességeik cseréjét. Ha a nyilvános hálózatokhoz készült RDP Shortpath engedélyezve van a munkamenet-gazdagépen, a munkamenet-gazdagép elindít egy jelöltgyűjtés nevű folyamatot:

1. A munkamenet-gazdagép felsorolja a munkamenet-gazdagéphez rendelt összes hálózati adaptert, beleértve az olyan virtuális adaptereket is, mint a VPN és a Teredo.

2. A Windows-szolgáltatás távoli asztali szolgáltatásai (TermService) minden felületen lefoglalják az UDP-szoftvercsatornákat, és az IP:portpárt helyi jelöltként tárolják a jelölt táblában.

3. A Távoli asztali szolgáltatások szolgáltatás az előző lépésben lefoglalt UDP-szoftvercsatornák használatával próbálja elérni az Azure Virtual Desktop STUN-kiszolgálót a nyilvános interneten. A kommunikáció úgy történik, hogy egy kis UDP-csomagot küld a 3478-as portra.

4. Ha a csomag eléri a STUN-kiszolgálót, a STUN-kiszolgáló a nyilvános IP-címmel és porttal válaszol. Ezeket az információkat a rendszer reflexív jelöltként tárolja a jelölttáblában.

5. Miután a munkamenet-gazdagép összegyűjti az összes jelöltet, a munkamenet-gazdagép a létrehozott fordított kapcsolat átvitelével továbbítja a jelöltlistát az ügyfélnek.

6. Amikor az ügyfél megkapja a jelöltek listáját a munkamenet-gazdagéptől, az ügyfél a maga oldalán is végrehajtja a jelöltek gyűjtését. Ezután az ügyfél elküldi a jelöltlistáját a munkamenet-gazdagépnek.

7. Miután a munkamenetgazda és az ügyfél kicserélte a jelöltlistáikat, mindkét fél megpróbál csatlakozni egymással az összes összegyűjtött jelölt használatával. Ez a kapcsolati kísérlet mindkét oldalon egyidejű. Számos NAT-átjáró úgy van konfigurálva, hogy engedélyezze a bejövő forgalmat a szoftvercsatornába, amint a kimenő adatátvitel inicializálja azt. A NAT-átjárók ezen viselkedése az oka annak, hogy az egyidejű kapcsolat elengedhetetlen. Ha az STUN meghiúsul, mert le van tiltva, a rendszer a TURN használatával kísérli meg a továbbító kapcsolati kísérletet.

8. A kezdeti csomagcsere után az ügyfél és a munkamenet-gazdagép egy vagy több adatfolyamot hozhat létre. Ezekből az adatfolyamokból az RDP a leggyorsabb hálózati útvonalat választja ki. Az ügyfél ezután biztonságos kapcsolatot létesít TLS használatával megbízható UDP-vel a munkamenet-gazdagéppel, és kezdeményezi az RDP Shortpath átvitelét.

9. Miután az RDP létrehozza az RDP Shortpath-átvitelt, az összes dinamikus virtuális csatorna (DVC), beleértve a távoli grafikus elemeket, a bemenetet és az eszközátirányítást, az új átvitelre kerül.

Ha a felhasználók rdp Shortpath for managed network és nyilvános hálózatok számára is elérhetők, akkor a rendszer az első megtalált algoritmust fogja használni, ami azt jelenti, hogy a felhasználó az adott munkamenethez először létrehozott kapcsolatot fogja használni. További információ: 4. példaforgatókönyv.

Hálózati konfiguráció

Az RDP Shortpath nyilvános hálózatokhoz való támogatásához általában nincs szükség konkrét konfigurációra. A munkamenetgazda és az ügyfél automatikusan felderíti a közvetlen adatfolyamot, ha ez lehetséges a hálózati konfigurációban. Azonban minden környezet egyedi, és egyes hálózati konfigurációk negatívan befolyásolhatják a közvetlen kapcsolat sikerességét. Kövesse az ajánlásokat a közvetlen adatfolyamok valószínűségének növeléséhez.

Mivel az RDP Shortpath UDP használatával hoz létre egy adatfolyamot, ha a hálózaton található tűzfal blokkolja az UDP-forgalmat, az RDP Shortpath sikertelen lesz, és a kapcsolat visszaesik a TCP-alapú fordított kapcsolat átvitelére. Az Azure Virtual Desktop az Azure Communication Services és a Microsoft Teams által biztosított STUN-kiszolgálókat használja. A szolgáltatás jellegéből adódóan a munkamenet-gazdagépekről az ügyfél felé irányuló kimenő kapcsolatra van szükség. Sajnos nem tudja megjósolni, hogy a felhasználók hol találhatók a legtöbb esetben. Ezért azt javasoljuk, hogy engedélyezi a kimenő UDP-kapcsolatot a munkamenet-gazdagépekről az internetre. A szükséges portok számának csökkentése érdekében korlátozhatja az ügyfelek által az UDP-folyamathoz használt porttartományt. Az RDP Shortpath tűzfalainak konfigurálásához használja az alábbi táblázatokat.

Ha a környezet szimmetrikus NAT-ot használ, amely egyetlen magánforrás IP:portjának leképezése egy egyedi nyilvános cél IP:Portra, akkor használhat továbbító kapcsolatot a TURN használatával. Ez a helyzet az Azure Firewall és az Azure NAT Gateway használata esetén. További információ az Azure-beli virtuális hálózatokkal rendelkező NAT-ról: Forráshálózati címfordítás virtuális hálózatokkal.

Általános javaslatokkal rendelkezünk a nyilvános hálózatokhoz készült RDP Shortpath használatával történő sikeres kapcsolatokhoz. További információ: Általános javaslatok.

Ha a felhasználók rdp shortpath-tal rendelkeznek a felügyelt és a nyilvános hálózatokhoz is, akkor a rendszer az első talált algoritmust fogja használni. A felhasználó azt fogja használni, amelyik először létrejön az adott munkamenethez. További információ: Példaforgatókönyvek.

A következő szakaszok tartalmazzák a munkamenet-gazdagépek és ügyféleszközök forrás-, cél- és protokollkövetelményeit, amelyeket engedélyezni kell az RDP Shortpath működéséhez.

Munkamenet-gazdagép virtuális hálózata

Az alábbi táblázat a munkamenet-gazdagép virtuális hálózatához tartozó RDP Shortpath forrás-, cél- és protokollkövetelményeit ismerteti.

Ügyfélhálózat

Az alábbi táblázat az ügyféleszközök forrás-, cél- és protokollkövetelményeit ismerteti.

Teredo-támogatás

Bár az RDP Shortpath esetében nem szükséges, a Teredo további NAT-bejárási jelölteket ad hozzá, és növeli a sikeres RDP Shortpath-kapcsolat esélyét az IPv4-alapú hálózatokban. A Teredo munkamenet-gazdagépeken és -ügyfeleken való engedélyezéséről további információt a Teredo támogatásának engedélyezése című témakörben talál.

UPnP-támogatás

A közvetlen kapcsolat esélyének javítása érdekében a Távoli asztali ügyfél oldalán az RDP Shortpath UPnP használatával konfigurálhat egy portleképezést a NAT-útválasztón. Az UPnP egy szabványos technológia, amelyet különböző alkalmazások, például az Xbox, a Kézbesítésoptimalizálás és a Teredo használnak. Az UPnP általában az otthoni hálózaton található útválasztókon érhető el. Az UPnP alapértelmezés szerint engedélyezve van a legtöbb otthoni útválasztón és hozzáférési ponton, de gyakran le van tiltva a vállalati hálózatkezelésben.

Általános javaslatok

Íme néhány általános javaslat az RDP Shortpath nyilvános hálózatokhoz való használatakor:

• Ne használjon kényszerített bújtatási konfigurációkat, ha a felhasználók az Interneten keresztül férnek hozzá az Azure Virtual Desktophoz.

• Győződjön meg arról, hogy nem használ kettős NAT- vagy Carrier-Grade-NAT-(CGN-) konfigurációkat.

• Javasoljuk a felhasználóknak, hogy ne tiltsák le az UPnP-t az otthoni útválasztóikon.

• Kerülje a felhőbeli csomagvizsgálati szolgáltatások használatát.

• Kerülje a TCP-alapú VPN-megoldások használatát.

• IPv6-kapcsolat vagy Teredo engedélyezése.