Поделиться через

RDP Shortpath для виртуального рабочего стола Azure

RDP Shortpath устанавливает транспорт на основе UDP между локальным устройством Windows App или приложением удаленного рабочего стола на поддерживаемых платформах и узле сеансов в Azure Виртуального рабочего стола. По умолчанию протокол удаленного рабочего стола (RDP) запускает транспорт обратного подключения на основе TCP, а затем пытается установить удаленный сеанс с помощью UDP. Если UDP-подключение успешно завершается, tcp-подключение удаляется, в противном случае TCP-подключение используется в качестве резервного механизма подключения.

Транспорт на основе UDP обеспечивает более высокую надежность подключения и более согласованную задержку. Транспорт с обратным подключением на основе TCP обеспечивает наилучшую совместимость с различными сетевыми конфигурациями и имеет высокий уровень успешности для установления подключений по протоколу RDP.

RDP Shortpath можно использовать двумя способами:

  1. Управляемые сети, в которых устанавливается прямое подключение между клиентом и узлом сеансов при использовании частного подключения, например Azure ExpressRoute или виртуальной частной сети типа "сеть — сеть" (VPN). Подключение с использованием управляемой сети устанавливается одним из следующих способов:

    1. Прямое UDP-подключение между клиентским устройством и узлом сеансов, где необходимо включить прослушиватель RDP Shortpath и разрешить входящий порт на каждом узле сеанса для приема подключений.

    2. Прямое UDP-подключение между клиентским устройством и узлом сеансов, использующее протокол Простой обход под NAT (STUN) между клиентом и узлом сеансов. Входящие порты на узле сеансов не должны быть разрешены.

  2. Общедоступные сети, в которых устанавливается прямое подключение между клиентом и узлом сеансов при использовании общедоступного подключения. Существует два типа подключения при использовании общедоступного подключения, которые перечислены здесь в порядке предпочтения:

    1. Прямое UDP-подключение с использованием протокола STUN (Простой обход под NAT) между клиентом и узлом сеанса.

    2. Ретрансляционное UDP-подключение, использующее протокол обхода с помощью протокола NAT ретранслятора (TURN) между клиентом и узлом сеанса.

Транспорт, используемый для RDP Shortpath, основан на протоколе URCP. URCP улучшает UDP за помощью активного мониторинга состояния сети и обеспечивает справедливое и полное использование канала. URCP работает с низкой задержкой и уровнем потерь по мере необходимости.

Важно!

  • RDP Shortpath для общедоступных сетей через STUN для Azure Виртуальный рабочий стол доступен в общедоступном облаке Azure и Azure для государственных организаций облаке.
  • RDP Shortpath для общедоступных сетей через TURN для Azure Виртуальный рабочий стол доступен только в общедоступном облаке Azure.

Основные преимущества

Использование RDP Shortpath имеет следующие основные преимущества:

  • Использование URCP для улучшения UDP обеспечивает наилучшую производительность за счет динамического обучения параметров сети и предоставления протокола с механизмом управления скоростью.

  • Более высокая пропускная способность.

  • При использовании STUN удаление дополнительных точек ретрансляции сокращает время кругового пути, повышает надежность подключения и взаимодействие с приложениями, чувствительными к задержкам, и методами ввода.

  • Кроме того, для управляемых сетей:

    • RDP Shortpath обеспечивает поддержку настройки приоритета качества обслуживания (QoS) для подключений RDP с помощью меток DSCP.

    • Транспорт RDP Shortpath позволяет ограничить исходящий сетевой трафик путем указания скорости регулирования для каждого сеанса.

Принципы работы RDP Shortpath

Чтобы узнать, как работает RDP Shortpath для управляемых и общедоступных сетей, выберите каждую из следующих вкладок.

Вы можете достичь прямой прямой видимости подключения, необходимого для использования RDP Shortpath с управляемыми сетями, используя следующие методы.

Наличие прямого подключения означает, что клиент может подключаться непосредственно к узлу сеансов без блокировки брандмауэрами.

Примечание.

Если вы используете другие типы VPN для подключения к Azure, рекомендуется использовать VPN на основе UDP. Хотя большинство VPN-решений на основе TCP поддерживают вложенные UDP, они добавляют наследуемые издержки управления перегрузкой TCP, что снижает производительность RDP.

Чтобы использовать RDP Shortpath для управляемых сетей, необходимо включить прослушиватель UDP на узлах сеансов. По умолчанию используется порт 3390 , хотя можно использовать другой порт.

На следующей схеме представлен общий обзор сетевых подключений при использовании RDP Shortpath для управляемых сетей и узлов сеансов, присоединенных к домену Active Directory.

Схема сетевых подключений при использовании RDP Shortpath для управляемых сетей.

Последовательность подключений

Все подключения начинаются с установки транспорта обратного подключения на основе TCP через шлюз виртуальных рабочих столов Azure. Затем клиент и узел сеансов устанавливают начальный транспорт RDP и начинают обмениваться своими возможностями. Эти возможности согласовываются с помощью следующего процесса:

  1. Узел сеанса отправляет клиенту список своих IPv4- и IPv6-адресов.

  2. Клиент запускает фоновый поток для установки параллельного транспорта на основе UDP непосредственно к одному из IP-адресов узла сеансов.

  3. Пока клиент проверит предоставленные IP-адреса, он продолжает устанавливать начальное подключение через транспорт обратного подключения, чтобы обеспечить отсутствие задержки в подключении пользователя.

  4. Если клиент имеет прямое подключение к узлу сеансов, клиент устанавливает безопасное подключение с помощью TLS через надежный UDP.

  5. После установки транспорта RDP Shortpath все динамические виртуальные каналы (DVCs), включая удаленную графику, ввод и перенаправление устройств, перемещаются в новый транспорт. Однако если брандмауэр или топология сети не позволяет клиенту установить прямое UDP-подключение, RDP продолжает использовать транспорт с обратным подключением.

Если у пользователей есть как RDP Shortpath для управляемой сети, так и для общедоступных сетей, будет использоваться алгоритм первого обнаружения. Пользователь будет использовать любое подключение, которое будет установлено первым для этого сеанса.

Безопасность подключения

RDP Shortpath расширяет возможности RDP для нескольких транспортных средств. Он не заменяет транспорт обратного соединения, но дополняет его. Управление брокером начальных сеансов осуществляется через службу Azure Виртуальный рабочий стол и транспорт обратного подключения. Все попытки подключения игнорируются, если они не соответствуют сеансу обратного подключения. RDP Shortpath устанавливается после проверки подлинности, и в случае успешной установки транспорт обратного подключения удаляется, и весь трафик проходит через RDP Shortpath.

RDP Shortpath использует безопасное подключение по протоколу TLS по надежному протоколу UDP между клиентом и узлом сеансов, используя сертификаты узла сеансов. По умолчанию сертификат, используемый для шифрования RDP, создается операционной системой самостоятельно во время развертывания. Azure Виртуальный рабочий стол в настоящее время не поддерживает использование сертификата, выданного центром сертификации.

Примечание.

Безопасность, предлагаемая RDP Shortpath, такая же, как и в транспорте обратного подключения TCP. Узнайте больше о безопасности подключения.

Примеры сценариев

Ниже приведены примеры сценариев, показывающих, как оцениваются подключения, чтобы решить, используется ли RDP Shortpath в разных сетевых топологиях.

Сценарий 1

UDP-подключение можно установить только между клиентским устройством и узлом сеансов через общедоступную сеть (Интернет). Прямое подключение, например VPN, недоступно. UDP разрешен через брандмауэр или устройство NAT.

Схема, показывающая RDP Shortpath для общедоступных сетей, использует STUN.

Сценарий 2

Брандмауэр или устройство NAT блокирует прямое UDP-подключение, но ретрансляторное подключение UDP можно ретранслировать с помощью turn между клиентским устройством и узлом сеансов через общедоступную сеть (Интернет). Другое прямое подключение, например VPN, недоступно.

Схема, показывающая RDP Shortpath для общедоступных сетей, использует TURN.

Сценарий 3

UDP-подключение можно установить между клиентским устройством и узлом сеансов через общедоступную сеть или через прямое VPN-подключение, но RDP Shortpath для управляемых сетей не включен. Когда клиент инициирует подключение, протокол ICE/STUN может видеть несколько маршрутов и будет оценивать каждый маршрут и выбирать один с наименьшей задержкой.

В этом примере будет выполнено UDP-подключение с использованием RDP Shortpath для общедоступных сетей через прямое VPN-подключение, так как оно имеет наименьшую задержку, как показано зеленой линией.

Схема, на которой показано UDP-подключение с использованием RDP Shortpath для общедоступных сетей через прямое VPN-подключение, будет выполнено, так как оно имеет наименьшую задержку.

Сценарий 4

Включены как RDP Shortpath для общедоступных сетей, так и управляемых сетей. UDP-подключение можно установить между клиентским устройством и узлом сеансов через общедоступную сеть или через прямое VPN-подключение. Когда клиент инициирует подключение, выполняются одновременные попытки подключения с помощью RDP Shortpath для управляемых сетей через порт 3390 (по умолчанию) и RDP Shortpath для общедоступных сетей по протоколу ICE/STUN. Будет использоваться алгоритм первого обнаружения, и пользователь будет использовать любое подключение, установленное первым для этого сеанса.

Так как переход через общедоступную сеть имеет больше шагов, например устройство NAT, подсистему балансировки нагрузки или сервер STUN, скорее всего, первый найденный алгоритм выберет подключение с помощью RDP Shortpath для управляемых сетей и будет установлен первым.

Схема, показывающая, что первый найденный алгоритм выбирает подключение с помощью RDP Shortpath для управляемых сетей и устанавливается первым.

Сценарий 5

UDP-подключение можно установить между клиентским устройством и узлом сеансов через общедоступную сеть или через прямое VPN-подключение, но RDP Shortpath для управляемых сетей не включен. Чтобы запретить ice/STUN использовать определенный маршрут, администратор может заблокировать один из маршрутов для трафика UDP. Блокировка маршрута гарантирует, что оставшийся путь будет использоваться всегда.

В этом примере UDP блокируется при прямом VPN-подключении, а протокол ICE/STUN устанавливает подключение через общедоступную сеть.

Схема, показывающая, что UDP заблокирован в прямом VPN-подключении, а протокол ICE/STUN устанавливает подключение через общедоступную сеть.

Сценарий 6

Настроены как RDP Shortpath для общедоступных сетей, так и управляемых сетей, однако UDP-подключение не удалось установить с помощью прямого VPN-подключения. Брандмауэр или устройство NAT также блокирует прямое UDP-подключение через общедоступную сеть (Интернет), но ретрансляция UDP-подключения может быть ретранслирована с помощью turn между клиентским устройством и узлом сеансов через общедоступную сеть (Интернет).

Схема, показывающая, что UDP заблокирован в прямом VPN-подключении, а прямое подключение с использованием общедоступной сети также завершается сбоем. TURN ретранслирует подключение через общедоступную сеть.

Сценарий 7

Настроены как RDP Shortpath для общедоступных сетей, так и управляемых сетей, однако не удалось установить UDP-подключение. В этом случае RDP Shortpath завершится сбоем, и подключение вернется к транспорту обратного подключения на основе TCP.

Схема, показывающая, что не удалось установить UDP-подключение. В этом случае RDP Shortpath завершится сбоем, и подключение вернется к транспорту обратного подключения на основе TCP.

Дальнейшие действия

  • Last updated on