Microsoft Office 365 Unternehmensnetzwerkarchitektur
Dieser Artikel bietet einen umfassenden Überblick über die Office 365-Netzwerkinfrastruktur, von den Endbenutzer-Clients bis hin zu den Diensten, die in den Microsoft-Clouds laufen. Es handelt sich um eine Cloud-basierte Software-as-a-Service (SaaS)-Lösung, die eine spezielle Architekturplanung für Unternehmensnetzwerke erfordert.
Dieses Thema ist umfangreich und komplex. Es wird hier kurz als Einführung und Ausgangspunkt behandelt, und dieser Artikel enthält Links zu spezifischen Themen für weitere Untersuchungen.
Weitere Artikel zu Office 365-Unternehmensarchitekturen:
Network Design for Scale and Performance
Hintergrund
Office 365 ist eine SaaS-Lösung, die traditionell für das Hosting in lokalen Rechenzentren von Unternehmen mit starken Sicherheitsvorkehrungen konzipiert wurde. Vor Ort installierte Dienste haben andere Netzwerkanforderungen und nutzen LAN-Ressourcen. In der Cloud gehostete Dienste nutzen ein WAN- und Internet-Netzwerk.
SaaS-Dienste erfordern grundlegend andere Netzarchitekturen:
- Erhöhte Nutzung und Abhängigkeit von WAN-Ressourcen, da der Zugriff auf Dokumente und Daten und deren Speicherung auf public cloud Ressourcen
- Stark gestiegene Leistungsanforderungen für Edge-Netzwerk- und Sicherheitsgeräte. Edge-Sicherheit ist komplex und ressourcenintensiv und erfordert eine Überprüfung und Analyse des Datenverkehrs.
- Mehrere langlebige aktive TCP-Sitzungen erweitern die Ressourcen der Edge-Systeme, um offene Sitzungen zu puffern und zu verarbeiten.
Office 365 als SaaS kombiniert Dutzende von SaaS-Produkten, die mehrere TCP-Sitzungen pro Anwendung für jeden Benutzer öffnen. IT-Netzwerkarchitekturen von Unternehmen können von dieser kombinierten Service-Architektur profitieren, da alle Office 365-Dienste mit einem einzigen Architekturdesign verwaltet und optimiert werden können.
Das obige Architekturdiagramm zeigt die Netzwerkinfrastruktur des Kunden mit Clients, die auf Office 365-Dienste zugreifen. Der Datenverkehr wird durch einen Stapel von Netzwerk- und Sicherheitssystemen am Kunden-Egress-Edge geschützt. Die Kundennetzwerke leiten den Datenverkehr dann an den Präsenzpunkt (POP) des Microsoft-Netzwerks weiter, damit er auf intelligente Weise an die Office 365 Service Front Door weitergeleitet werden kann.
Unternehmenseigene Edge-Systeme können Vorteile bringen, indem sie die Netzwerkarchitektur so gestalten:
- Leiten Sie den Nicht-Office-365-Datenverkehr an geeignete Edge-Systeme weiter, um den Bedarf an Edge-Ressourcen zu reduzieren.
- Leiten Sie den Office 365-Datenverkehr direkt an das Microsoft Global Network weiter, um die SSL-Verarbeitung an Microsoft zu übertragen und die Netzwerkleistung zu erhöhen.
O365 Netzwerk-IP-Verkehr
Netzwerkmanager müssen die Details des Netzwerkverkehrs kennen, um Zugang, Leistung und Sicherheit zu verwalten.
Der Zugriff auf die meisten Office 365-Dienste erfolgt über HTTPS-Webprotokolle entweder mit einem Webbrowser oder mit einem lokalen Client (z. B. OneDrive).
Beispiele für Dienste, die HTTP/HTTPS verwenden:
- Outlook-Webanwendung (OWA)
- SharePoint Online
- OneDrive für Unternehmen
- Word, PowerPoint, Excel
Zwei Ausnahmen sind Outlook und Skype for Business.
- Outlook-Client (Exchange Online)
- SMTP (25, 587)
- POP3 (995)
- Verschiedene Outlook-Add-ons
- Skype für Unternehmen Online und Teams
- UDP 3478-3481
Netzwerk-Routing und Sicherheitszugang müssen für Outlook (Exchange Online) unterstützt werden, ebenso wie UDP-Unterstützung für Skype for Business.
O365 Microsoft Globales Netzwerk
Der Zugriff auf die Office-365-Dienste erfolgt über das Microsoft Global Network, ein globales Weitverkehrsnetz, das Cloud-Dienste für Azure und andere Microsoft-Dienste bereitstellt. Es besteht aus einer großen und wachsenden Zahl von Rechenzentren, Servern, Content-Distributionsnetzen und Edge-Computing-Systemen, die über eine der größten Netzinfrastrukturen der Welt miteinander verbunden sind.
Die Microsoft Office 365-Dienste sind nicht nur auf mehrere Rechenzentren innerhalb des Microsoft Global Network verteilt, sondern werden aus Gründen der Zuverlässigkeit auch auf andere Rechenzentren repliziert.
Hinweis: Das globale Microsoft-Netzwerk umfasst 2500+ Netzwerke, 150+ ISP-Peers, 35+ Rechenzentren
Der Kundenverkehr wird von den Office 365 Service Front Door-Servern an die entsprechenden Systeme weitergeleitet, die die spezifischen Dienste bereitstellen.
Routing zu Office 365-Zugangspunkten
Microsoft baut immer mehr Netzzugänge in der Nähe der Kundenstandorte auf. Einmal im Microsoft-Netzwerk angekommen, wird der Datenverkehr auf intelligente Weise durch das globale Hochgeschwindigkeitsnetzwerk von Microsoft geleitet.
Um die beste Leistung für Office 365-Dienste zu erzielen, sollten sich Kunden mit dem nächstgelegenen Microsoft-Netzwerk-POP verbinden. Die Verkürzung des Netzwerkpfads vom Kunden zum Microsoft-Netzwerk erhöht die Leistung und verringert die Netzwerklatenz.
Damit dies korrekt funktioniert, sollten sich die DNS-Server der Kunden in geografischer Nähe zu den Kundennetzwerken befinden. Office 365-Dienste verwenden GeoDNS-Lookup und andere Technologien, um festzustellen, woher DNS-Anfragen kommen, und um den Client-Datenverkehr an die geografisch nächstgelegene Service Front Door umzuleiten.
Um die besten Microsoft POP-Adressen zu finden, sollten die lokalen DNS-Server entweder:
- Am besten - ein lokaler DNS-Server mit Root-Hinweisen. Dieser Server befindet sich im Netz des Kunden und liefert das genaue Kundennetz.
- Gut - Weiterleitung an ISP-DNS-Server, die sich in einem ISP-Netzwerksegment befinden, das sich im selben Netzwerksegment wie das Kundennetzwerk befindet.
Firmenausgangsverkehr
Der Office 365-Datenverkehr von Clients durchläuft das Edge-Netzwerk und die Sicherheitssysteme, um das geschlossene Office 365-Cloud-Rechenzentrum zu erreichen. Dieser Stapel von Edge-Systemen ist komplex, teuer und muss äußerst zuverlässig sein.
Office 365-Dienste umfassen End-to-End-Sicherheitsdienste. Das Routing des Client-Datenverkehrs durch den Edge-Security-Stack kann redundant sein und zusätzliche Verzögerungen und Overhead verursachen. Vor diesem Hintergrund sollten Kunden die Edge-Sicherheitssysteme von Unternehmen umgehen und direkt zum Microsoft-Netzwerk leiten.
Hinweis: Microsoft empfiehlt eine direkte Netzwerkverbindung zu Office 365-Diensten, um eine schnellere Leistung mit geringer Latenz zu erzielen.
Die Vorteile einer direkten Weiterleitung des Office 365-Datenverkehrs an den Office 365-Zugangspunkt liegen auf der Hand:
- Entlastung des Datenverkehrs von den bestehenden Edge-Egress- und Sicherheitssystemen
- Verlängert die Lebensdauer der vorhandenen und teuren Kantensysteme
- Erhöht die Leistung von Office 365 und sorgt für ein besseres Nutzererlebnis
Diese Netzwerkarchitektur wird hier im Detail beschrieben: Skalierbares und leistungsfähiges Design
Zweigstellennetze für Unternehmen
Zweigstellennetzarchitekturen sind oft über VPN-Internetverbindungen oder teure Mietleitungen mit der Zentrale verbunden.
Zweigstellennetzwerke können davon profitieren, wenn sie direkt auf Office 365-Dienste zugreifen, anstatt diesen Datenverkehr über die Zentrale zu leiten. Dazu muss der Office 365-Datenverkehr identifiziert und direkt zu einem lokalen Office 365-ZugangspOP geleitet werden.
Die Techniken zur Steuerung des Datenverkehrs und zur Weiterleitung des Datenverkehrs an lokale Office 365-Zugangspunkte sind dieselben wie oben beschrieben. Dazu gehört die Auflösung von Office 365-Clients über einen lokalen DNS-Server.
Referenzen
- A10 ADFS und Office 365
- Office 365 - Grundsätze der Netzwerkkonnektivität
- Office 365 Client-Konnektivität
- Microsoft Skype für Unternehmen Online
- Verwaltung von Office 365-Endpunkten
- NAT-Unterstützung mit Office 365
Wie kann A10 Networks helfen?
A10 Networks hat sich mit Microsoft zusammengeschlossen, um eine Office 365-Lösung für Unternehmensnetzwerke zu entwickeln. Die Thunder® Produkte des Unternehmens bieten eine komplette Unternehmenslösung oder können bestehende Edge-Systeme erweitern, um Office 365-Anwendungen zu entlasten, zu skalieren und zu sichern.
Vorteile:
- Intelligente Identifizierung und Steuerung des Office 365-Datenverkehrs
- Für Office 365 erforderliche Funktionen wie HTTP-Header-Injection für die Zugriffskontrolle von Mandanten
- Ausgleich der Verkehrslast über mehrere Edge-Server
- Erweiterte NAT-Funktionen
- SSL-Offload und Paketprüfung des SSL-verschlüsselten Datenverkehrs