Dela via

Nödvändiga FQDN:er och slutpunkter för Azure Virtual Desktop

För att kunna distribuera Azure Virtual Desktop och för att användarna ska kunna ansluta måste du tillåta specifika FQDN:er och slutpunkter. Användarna måste också kunna ansluta till vissa FQDN:er och slutpunkter för att få åtkomst till sina Azure Virtual Desktop-resurser. I den här artikeln visas de nödvändiga FQDN:er och slutpunkter som du behöver för att tillåta dina sessionsvärdar och användare.

Dessa FQDN:er och slutpunkter kan blockeras om du använder en brandvägg, till exempel Azure Firewall eller proxytjänst. Vägledning om hur du använder en proxytjänst med Azure Virtual Desktop finns i Riktlinjer för proxytjänster för Azure Virtual Desktop.

Du kan kontrollera att sessionsvärdens virtuella datorer kan ansluta till dessa FQDN:er och slutpunkter genom att följa stegen för att köra URL-verktyget för Azure Virtual Desktop Agent i Kontrollera åtkomsten till nödvändiga FQDN:er och slutpunkter för Azure Virtual Desktop. URL-verktyget för Azure Virtual Desktop Agent verifierar varje fullständigt domännamn och slutpunkt och visar om sessionsvärdarna kan komma åt dem.

Viktigt

Microsoft stöder inte Azure Virtual Desktop-distributioner där FQDN och slutpunkter som anges i den här artikeln blockeras. Den här artikeln innehåller inte FQDN och slutpunkter för andra tjänster, till exempel Microsoft Entra-ID, Office 365, anpassade DNS-providers eller tidstjänster. Microsoft Entra FQDN och slutpunkter finns under ID 46, 56, 59 och 125 i Office 365 URL:er och IP-adressintervall, som kan krävas i begränsade nätverksmiljöer.

Tjänsttaggar och FQDN-taggar

Tjänsttaggar representerar grupper av IP-adressprefix från en viss Azure-tjänst. Microsoft hanterar adressprefixen som omfattas av tjänsttaggen och uppdaterar automatiskt tjänsttaggen när adresserna ändras, vilket minimerar komplexiteten i frekventa uppdateringar av nätverkssäkerhetsregler. Tjänsttaggar kan användas i regler för nätverkssäkerhetsgrupper (NSG:er) och Azure Firewall för att begränsa utgående nätverksåtkomst. Tjänsttaggar kan också användas i användardefinierade vägar (UDR) för att anpassa trafikroutningsbeteendet.

Azure Firewall stöder även FQDN-taggar, som representerar en grupp med fullständigt kvalificerade domännamn (FQDN) som är associerade med välkända Azure- och andra Microsoft-tjänster. Azure Virtual Desktop har ingen lista över IP-adressintervall som du kan avblockera i stället för FQDN för att tillåta nätverkstrafik. Om du använder en nästa generations brandvägg (NGFW) måste du använda en dynamisk lista som gjorts för Azure IP-adresser för att se till att du kan ansluta. Mer information finns i Använda Azure Firewall för att skydda Azure Virtual Desktop-distributioner.

Azure Virtual Desktop har både en tjänsttagg och en FQDN-taggpost tillgänglig. Vi rekommenderar att du använder tjänsttaggar och FQDN-taggar för att förenkla din Azure-nätverkskonfiguration.

Virtuella sessionsvärddatorer

Följande tabell är en lista över FQDN:er och slutpunkter som dina virtuella sessionsvärddatorer behöver åtkomst till för Azure Virtual Desktop. Alla poster är utgående. du behöver inte öppna inkommande portar för Azure Virtual Desktop. Välj relevant flik baserat på vilket moln du använder.

Adress Protokoll Utgående port Syfte Tjänsttagg
login.microsoftonline.com TCP 443 Autentisering till Microsoft Online Services AzureActiveDirectory
*.wvd.microsoft.com TCP 443 Tjänsttrafik WindowsVirtualDesktop
catalogartifact.azureedge.net TCP 443 Azure Marketplace AzureFrontDoor.Frontend
*.prod.warm.ingest.monitor.core.windows.net TCP 443 Agenttrafik
Diagnostiska utdata		 AzureMonitor
gcs.prod.monitoring.core.windows.net TCP 443 Agenttrafik AzureMonitor
azkms.core.windows.net TCP 1688 Windows-aktivering Internet
mrsglobalsteus2prod.blob.core.windows.net TCP 443 Uppdateringar av agent- och SXS-stacken (sida vid sida) Storage
wvdportalstorageblob.blob.core.windows.net TCP 443 Azure Portal support AzureCloud
169.254.169.254 TCP 80 Tjänstslutpunkt för Azure Instance Metadata EJ TILLÄMPLIGT
168.63.129.16 TCP 80 Hälsoövervakning av sessionsvärd EJ TILLÄMPLIGT
oneocsp.microsoft.com TCP 80 Certifikat AzureFrontDoor.FirstParty
www.microsoft.com TCP 80 Certifikat EJ TILLÄMPLIGT
ctldl.windowsupdate.com TCP 80 Certifikat EJ TILLÄMPLIGT
aka.ms TCP 443 Microsoft URL-förkortning, som används under sessionsvärddistribution på Azure Local EJ TILLÄMPLIGT
*.service.windows.cloud.microsoft TCP 443 Tjänsttrafik WindowsVirtualDesktop
*.windows.cloud.microsoft TCP 443 Tjänsttrafik EJ TILLÄMPLIGT
*.windows.static.microsoft TCP 443 Tjänsttrafik EJ TILLÄMPLIGT

I följande tabell visas valfria FQDN:er och slutpunkter som sessionsvärden för virtuella datorer också kan behöva åtkomst till för andra tjänster:

Adress Protokoll Utgående port Syfte Tjänsttagg
login.windows.net TCP 443 Logga in på Microsoft Online Services och Microsoft 365 AzureActiveDirectory
*.events.data.microsoft.com TCP 443 Telemetritjänst EJ TILLÄMPLIGT
www.msftconnecttest.com TCP 80 Identifierar om sessionsvärden är ansluten till Internet EJ TILLÄMPLIGT
*.prod.do.dsp.mp.microsoft.com TCP 443 Windows Update EJ TILLÄMPLIGT
*.sfx.ms TCP 443 Uppdateringar för OneDrive-klientprogram EJ TILLÄMPLIGT
*.digicert.com TCP 80 Kontroll av återkallande av certifikat EJ TILLÄMPLIGT
*.azure-dns.com TCP 443 Azure DNS-matchning EJ TILLÄMPLIGT
*.azure-dns.net TCP 443 Azure DNS-matchning EJ TILLÄMPLIGT
*eh.servicebus.windows.net TCP 443 Diagnostikinställningar EventHub

Tips

Du måste använda jokertecknet (*) för FQDN som involverar tjänsttrafik.

Om du föredrar att inte använda jokertecken för agenttrafik, så här hittar du specifika FQDN:er att tillåta:

  1. Kontrollera att sessionsvärdarna är registrerade i en värdpool.
  2. Öppna Loggboken på en sessionsvärd och gå sedan till Windows-loggar>Program>WVD-Agent och leta efter händelse-ID 3701.
  3. Avblockera de FQDN:er som du hittar under händelse-ID 3701. FQDN:erna under händelse-ID 3701 är regionspecifika. Du måste upprepa den här processen med relevanta FQDN för varje Azure-region som du vill distribuera sessionsvärdarna i.

Slutanvändarenheter

Alla enheter där du använder en av fjärrskrivbordsklienterna för att ansluta till Azure Virtual Desktop måste ha åtkomst till följande FQDN och slutpunkter. Att tillåta dessa FQDN:er och slutpunkter är viktigt för en tillförlitlig klientupplevelse. Blockering av åtkomst till dessa FQDN:er och slutpunkter stöds inte och påverkar tjänstens funktioner.

Välj relevant flik baserat på vilket moln du använder.

Adress Protokoll Utgående port Syfte Klienter
login.microsoftonline.com TCP 443 Autentisering till Microsoft Online Services Alla
*.wvd.microsoft.com TCP 443 Tjänsttrafik Alla
*.servicebus.windows.net TCP 443 Felsöka data Alla
go.microsoft.com TCP 443 Microsoft FWLinks Alla
aka.ms TCP 443 Microsoft URL-förkortning Alla
free.blessedness.top TCP 443 Dokumentation Alla
privacy.microsoft.com TCP 443 Sekretesspolicy Alla
*.cdn.office.net TCP 443 Automatiska uppdateringar Windows Desktop
graph.microsoft.com TCP 443 Tjänsttrafik Alla
windows.cloud.microsoft TCP 443 Anslutningscenter Alla
windows365.microsoft.com TCP 443 Tjänsttrafik Alla
ecs.office.com TCP 443 Anslutningscenter Alla
*.events.data.microsoft.com TCP 443 Klienttelemetri Alla

Om du är i ett stängt nätverk med begränsad Internetåtkomst kan du också behöva tillåta de FQDN som anges här för certifikatkontroller: Information om Azure Certificate Authority | Microsoft Learn.

Nästa steg