ניהול נקודות קצה של Microsoft 365

רוב הארגונים בעלי מיקומי משרדים מרובים ו- WAN מחובר זקוקים לתצורה עבור קישוריות רשת של Microsoft 365. באפשרותך למטב את הרשת שלך על-ידי שליחת כל בקשות הרשת המהימנות של Microsoft 365 ישירות דרך חומת האש שלך, ועקיפת כל בדיקה או עיבוד מיותרים ברמת המנה. פעולה זו מפחיתה את ההשהיה ואת דרישות קיבולת ההיקף שלך. זיהוי תעבורת רשת של Microsoft 365 הוא השלב הראשון באספקת ביצועים מיטביים עבור המשתמשים שלך. לקבלת מידע נוסף, ראה עקרונות קישוריות הרשת של Microsoft 365.

Microsoft ממליצה לגשת ל נקודות הקצה של רשת Microsoft 365 ולשינויים מתמשכת בהם באמצעות שירות האינטרנט של כתובת ה- IP וכתובת ה- URL של Microsoft 365.

ללא קשר לאופן שבו אתה מנהל תעבורת רשת חיונית של Microsoft 365, Microsoft 365 דורש קישוריות אינטרנט. נקודות קצה אחרות של רשת שבהן נדרשת קישוריות מפורטות תחת נקודות קצה נוספות אינן נכללות בכתובת ה- IP של Microsoft 365 ובשירות האינטרנט של כתובת ה- URL.

האופן שבו אתה משתמש ב נקודות הקצה של רשת Microsoft 365 תלוי בארכיטקטורת הרשת הארגונית שלך. מאמר זה מתאר כמה דרכים שבהן ארכיטקטורות רשת ארגוניות יכולות להשתלב עם כתובות IP וכתובות URL של Microsoft 365. הדרך הקלה ביותר לבחור אילו בקשות רשת לתת אמון היא להשתמש במכשירי SD-WAN התומכים בתצורה אוטומטית של Microsoft 365 בכל אחד מהמיקומים במשרד שלך.

SD-WAN עבור יציאה מהענף המקומי של תעבורת רשת חיונית של Microsoft 365

בכל מיקום של משרד סניף, באפשרותך לספק מכשיר SD-WAN שתצורתו נקבעה לניתוב תעבורה עבור קטגוריית מיטוב של Microsoft 365 של נקודות קצה, או מיטוב ואפשר קטגוריות, ישירות לרשת של Microsoft. תעבורת רשת אחרת, כולל תעבורת מרכז נתונים מקומית, תעבורת אתרי אינטרנט כללית ותעבורה אל נקודות קצה של קטגוריות ברירת מחדל של Microsoft 365 נשלחת למיקום אחר שבו יש היקף רשת משמעותי יותר.

Microsoft פועלת עם ספקי SD-WAN כדי לאפשר קביעת תצורה אוטומטית. לקבלת מידע נוסף, ראה Microsoft 365 תוכנית השותפים לעבודה ברשת.

השתמש בקובץ PAC לניתוב ישיר של תעבורת Microsoft 365 חיונית

השתמש בקבצי PAC או WPAD כדי לנהל בקשות רשת המשויכות ל- Microsoft 365 אך אין להם כתובת IP. בקשות רשת רגילות הנשלחות דרך Proxy או התקן היקפי מגדילות את ההשהיה. בעוד TLS Break and Inspect יוצר את ההשהיה הגדולה ביותר, שירותים אחרים כגון אימות Proxy ובדיקת מוניטין עלולים לגרום לביצועים ירודים ולחוויה גרועה של המשתמש. בנוסף, התקני רשת היקפית אלה זקוקים לקיבולת מספיקה כדי לעבד את כל בקשות החיבור לרשת. מומלץ לעקוף את התקני ה- Proxy או הבדיקה שלך לקבלת בקשות רשת ישירות של Microsoft 365.

PowerShell Gallery Get-PacFile הוא קובץ Script של PowerShell שמקריא את נקודות הקצה העדכניות ביותר של הרשת מתוך שירות האינטרנט של כתובת ה- IP וכתובת ה- URL של Microsoft 365, והוא יוצר קובץ PAC לדוגמה. באפשרותך לשנות את קובץ ה- Script כך שהוא ישתלב עם ניהול קבצי PAC הקיים שלך.

איור 1 - היקף רשת ארגונית פשוט

קובץ PAC נפרס בדפדפני אינטרנט בנקודה 1 באיור 1. בעת שימוש בקובץ PAC עבור יציאה ישירה של תעבורת רשת חיונית של Microsoft 365, עליך גם לאפשר קישוריות לכתובות ה- IP מאחורי כתובות URL אלה בחומת האש ההיקפית של הרשת שלך. פעולה זו מתבצעת על-ידי הבאת כתובות ה- IP עבור אותן קטגוריות של נקודות קצה של Microsoft 365 כפי שצוין בקובץ PAC ויצירת רשימות ACL של חומת אש המבוססות על כתובות אלה. חומת האש היא נקודה 3 באיור 1.

בנפרד אם תבחר לבצע ניתוב ישיר רק עבור נקודות הקצה של הקטגוריה Optimize, כל נקודות הקצה הנדרשות של Allow category שאתה שולח לשרת ה- Proxy חייבות להופיע בשרת ה- Proxy כדי לעקוף עיבוד נוסף. לדוגמה, ניתוק TLS ואימות Proxy אינם תואמים הן ל- Optimize והן ל- Allow category endpoints. שרת ה- Proxy הוא נקודה 2 באיור 1.

התצורה הנפוצה היא להתיר מבלי לעבד את כל התעבורה היוצאת משרת ה- Proxy עבור כתובות ה- IP המהוות יעד עבור תעבורת רשת של Microsoft 365 אשר פוגעת בשרת ה- Proxy. לקבלת מידע אודות בעיות ב- TLS Break ו- Inspect, ראה שימוש בהתקני רשת של ספקים חיצוניים או פתרונות בת תעבורת Microsoft 365.

קיימים שני סוגים של קבצי PAC שהקובץ Get-PacFile יוצר.

להלן דוגמה פשוטה של קריאה ל- Script של PowerShell:

Get-PacFile -ClientRequestId b10c5ed1-bad1-445f-b386-b919946339a7

קיימים פרמטרים רבים שניתן להעביר אל קובץ ה- Script:

הנה דוגמה נוספת של קריאה ל- Script של PowerShell עם פרמטרים נוספים:

Get-PacFile -Type 2 -Instance Worldwide -TenantName Contoso -ClientRequestId b10c5ed1-bad1-445f-b386-b919946339a7

עיבוד מעקף של שרת Proxy של תעבורת רשת של Microsoft 365

כאשר קבצי PAC אינם משמשים לתעבורה יוצאת ישירה, עדיין ברצונך לעקוף את העיבוד בהיקף הרשת שלך על-ידי קביעת התצורה של שרת ה- Proxy שלך. ספקי שרת Proxy מסוימים הפכו תצורה אוטומטית של תכונה זו לזמינה, כמתואר במאמר Microsoft 365 תוכנית השותפים לעבודה ברשת.

אם תעשה זאת באופן ידני, עליך לקבל את נתוני הקטגוריות 'מיטוב' ו'אפשר נקודת קצה' מתוך שירות האינטרנט של כתובת ה- IP וכתובת ה- URL של Microsoft 365 ולהגדיר את שרת ה- Proxy שלך כך שיעקוף את העיבוד עבורם. חשוב להימנע מבעיית TLS ובדיקה ואימות Proxy עבור נקודות הקצה של המיטוב והאפשרות של קטגוריות.

ניהול שינויים עבור כתובות IP וכתובות URL של Microsoft 365

בנוסף לבחירת התצורה המתאימה להיקף הרשת שלך, חיוני לאמץ תהליך ניהול שינויים עבור נקודות קצה של Microsoft 365. נקודות קצה אלה משתנות באופן קבוע. אם אינך מנהל את השינויים, אתה יכול לסיים את העבודה עם משתמשים שנחסמו או עם ביצועים ירודים לאחר הוספת כתובת IP או כתובת URL חדשה.

שינויים בכתובות ה- IP ובכתובות ה- URL של Microsoft 365 פורסמו בדרך כלל בסמוך ליום האחרון בכל חודש. לעתים, שינוי פורסם מחוץ ללוח זמנים זה עקב דרישות תפעוליות, תמיכה או דרישות אבטחה.

בעת פרסום שינוי הדורש ממך לפעול מאחר שכתובת IP או כתובת URL נוספו, אתה אמור לצפות לקבל הודעה של 30 יום ממועד פרסום השינוי עד לקבלת שירות של Microsoft 365 ב נקודת קצה זו. זה משתקף כתאריך תוקף. למרות שאנו שואפים לת תקופת הודעה זו, ייתכן שלא תמיד תהיה אפשרות עקב דרישות תפעוליות, תמיכה או אבטחה. שינויים שאינם דורשים פעולה מיידית כדי לשמור על קישוריות, כגון כתובות IP או כתובות URL שהוסרו או שינויים פחות משמעותיים, אינם כוללים הודעה מראש. במופעים אלה לא סופק תאריך כניסה לתוקף. ללא קשר להודעות שסופקו, אנו מציין את התאריך הפעיל הצפוי של השירות עבור כל שינוי.

שינוי הודעה באמצעות שירות האינטרנט

באפשרותך להשתמש בכתובת ה- IP ובשירות האינטרנט של כתובת ה- URL של Microsoft 365 כדי לקבל הודעה על שינויים. מומלץ להתקשר לשיטה /version web פעם בשעה כדי לבדוק את הגירסה של נקודות הקצה שבה אתה משתמש כדי להתחבר ל- Microsoft 365. אם גירסה זו משתנה בהשוואה לגירסה שבה אתה משתמש, אתה אמור לקבל את נתוני נקודת הקצה העדכניים ביותר משיטה האינטרנט /endpoints ותבחין באופן אופציונלי בהבדלים של שיטת האינטרנט /changes . אין צורך להתקשר לשיטות האינטרנט /endpoints או /changes באינטרנט אם לא בוצעו שינויים בגירסה שמצאת.

לקבלת מידע נוסף, ראה כתובת ה- IP של Microsoft 365 ושירות האינטרנט של כתובת ה- URL.

שינוי הודעה באמצעות הזנות RSS

שירות האינטרנט של כתובת ה- IP וכתובת ה- URL של Microsoft 365 מספק הזנת RSS שבאפשרותך להירשם אליה כמנוי ב- Outlook. קיימים קישורים לכתובות ה- URL של ה- RSS בכל אחד מהדפים הספציפיים למופע השירות של Microsoft 365 עבור כתובות ה- IP וכתובות ה- URL. לקבלת מידע נוסף, ראה כתובת ה- IP של Microsoft 365 ושירות האינטרנט של כתובת ה- URL.

שינוי סקירת הודעות ואישור באמצעות Power Automate

אנו מבינים שייתכן שעדיין תדרוש עיבוד ידני עבור שינויי נקודת קצה של רשת המתבצעים מדי חודש. באפשרותך להשתמש ב- Power Automate כדי ליצור זרימה שמודיעה לך בדואר אלקטרוני והפעלת תהליך אישור עבור שינויים כאשר נקודות קצה של רשת Microsoft 365 כוללות שינויים. לאחר השלמת הסקירה, תוכל לקבוע שזרימה זו תישלח בדואר אלקטרוני באופן אוטומטי לחומת האש ולצוות ניהול שרתי ה- Proxy שלך.

לקבלת מידע אודות דוגמה ותבנית של Power Automate, ראה שימוש ב- Power Automate לקבלת דואר אלקטרוני עבור שינויים בכתובות IP ובכתובות URL של Microsoft 365.

שאלות נפוצות בנושא נקודות קצה של רשת Microsoft 365

עיין בשאלות נפוצות אלה אודות קישוריות רשת של Microsoft 365.

כיצד ניתן לבצע לשלוח שאלה?

בחר את הקישור בחלק התחתון כדי לציין אם המאמר היה שימושי או לא ולשלוח שאלות נוספות. אנו מנטרים את המשוב ומעדכנים את השאלות כאן בשאלות הנפוצות ביותר.

כיצד ניתן לבצע לקבוע את המיקום של הדייר שלי?

מיקום הדייר נקבע באופן מיטבי באמצעות מפת מרכז הנתונים שלנו.

האם אני מציץ באופן שמתאים ל- Microsoft?

מיקומי עמיתים מתוארים בפירוט רב יותר ב - peering עם Microsoft.

עם למעלה מ- 2,500 קשרי גומלין בין רשתות עמית של ISP באופן כללי ו- 70 נקודות נוכחות, קבלתם מהרשת לרשת שלנו אמורה להיות חלקה. לא יזיק להקדיש כמה דקות כדי לוודא שמערכות היחסים של רשתות עמית של ספק שירותי האינטרנט שלך היא האופטימלית ביותר, הנה כמה דוגמאות של תדירות עמית טובה ולא טובה לרשת שלנו.

אני רואה בקשות רשת לכתובות IP שלא מופיעות ברשימה שפוארמה, האם עליי לספק גישה אליהן?

אנו מספקים כתובות IP רק עבור שרתי Microsoft 365 שעליך לנתב ישירות אל. זו אינה רשימה מקיפה של כל כתובות ה- IP שעבורן תראה בקשות רשת. תראה בקשות רשת לכתובות IP בבעלות Microsoft ובבעלות ספק חיצוני, שלא פורסם. כתובות IP אלה נוצרות באופן דינאמי או מנוהלות באופן שמונע התראות בזמן בעת שינוין. אם חומת האש שלך אינה יכולה לאפשר גישה בהתבסס על שמות FQDN עבור בקשות רשת אלה, השתמש בקובץ PAC או WPAD כדי לנהל את הבקשות.

האם אתה רואה כתובת IP המשויכת ל- Microsoft 365 שברצונך לקבל מידע נוסף לגביו?

1. בדוק אם כתובת ה- IP כלולה בטווח גדול יותר שפורסם באמצעות מחשבון CIDR, כגון אלה עבור IPv4 או IPv6. לדוגמה, 40.96.0.0/13 כולל את כתובת ה- IP 40.103.0.1 למרות ש- 40.96 אינו תואם ל- 40.103.
2. בדוק אם כתובת ה- IP בבעלות שותף באמצעות שאילתת whois. אם היא בבעלות Microsoft, ייתכן שהיא שותף פנימי. נקודות קצה רבות של רשת שותפים מפורטות כשייכות לקטגוריה המוגדרת כברירת מחדל, שעבורה כתובות IP אינן פורסמו.
3. ייתכן שכתובת ה- IP אינה מהווה חלק מ- Microsoft 365 או תלות. פרסום נקודות קצה של רשת Microsoft 365 אינו כולל את כל נקודות הקצה של רשת Microsoft.
4. בדוק את האישור. באמצעות דפדפן, התחבר לכתובת ה- IP באמצעות HTTPS://< IP_ADDRESS> ובדוק את התחומים המפורטים באישור כדי להבין אילו תחומים משויכים לכתובת ה- IP. אם זו כתובת IP בבעלות Microsoft ולא ברשימת כתובות ה- IP של Microsoft 365, ייתכן כי כתובת ה- IP משויכת ל- CDN של Microsoft, כגון MSOCDN.NET או תחום אחר של Microsoft ללא פרטי IP שפורסמו. אם אתה מוצא את התחום באישור הוא התחום שבו אנו טוענים שברצונך להוסיף את כתובת ה- IP לרשימה, ספר לנו על כך.

חלק מכתובות ה- URL של Microsoft 365 מצביעות על רשומות CNAME במקום על רשומות ב- DNS. מה עליי לעשות עם רשומות CNAME?

מחשבי לקוח זקוקים רשומת DNS A או AAAA הכוללת כתובת IP אחת או יותר כדי להתחבר לשירות ענן. חלק מכתובות ה- URL הכלולות ב- Microsoft 365 מציגות רשומות CNAME במקום רשומות A או AAAA. רשומות CNAME אלה הן מתווך וייתכן שיש כמה בשרשרת. הם תמיד יפתרו בסופו של דבר רשומת A או AAAA עבור כתובת IP. לדוגמה, שקול את הסידרה הבאה של רשומות DNS, שבסופו של דבר זוהו לכתובת ה- IP IP_1:

serviceA.office.com -> CNAME: serviceA.domainA.com -> CNAME: serviceA.domainB.com -> A: IP_1

ניתובים מחדש אלה של CNAME הם חלק רגיל של ה- DNS ושקופים למחשב הלקוח ושקופים לשרתי Proxy. הן משמשות לאיזון עומסים, לרשתות אספקת תוכן, לזמינות גבוהה ולהפחתת סיכונים של אירועי שירות. Microsoft אינה מפרסמת את רשומות CNAME המתווך, הן כפופות לשינויים בכל עת, ואין צורך לקבוע את תצורתן כפי שהן מותרות בשרת ה- Proxy שלך.

שרת Proxy מאמת את כתובת ה- URL ההתחלתית, שבדוגמה שלעיל serviceA.office.com, וכתובת URL זו תיכלל בפרסום של Microsoft 365. שרת ה- Proxy מבקש זיהוי DNS של כתובת URL זו לכתובת IP ומקבל IP_1. הוא אינו מאמת את רשומות הניתוב מחדש של CNAME המתווך.

תצורות מקודדות באופן קשיח או שימוש ברשימת התרה המבוססת על שמות FQDN עקיפה של Microsoft 365 אינם מומלצים ולא נתמכים על-ידי Microsoft. ידוע שהן עלולות לגרום לבעיות בקישוריות הלקוח. ניתן לפתור פתרונות DNS בניתוב מחדש של CNAME, או שמפתים באופן שגוי את ערכי ה- DNS של Microsoft 365, באמצעות העברת DNS עם רקורסיה של DNS זמינה או באמצעות רמזי בסיס של DNS. מוצרים רבים של היקף הרשת של ספקים חיצוניים משלבים במקור את נקודת הקצה המומלצת של Microsoft 365 כדי לכלול רשימת היתרים בתצורה שלהם באמצעות שירות האינטרנט של כתובת ה- IP וכתובת ה- URL של Microsoft 365.

מדוע אני רואה שמות כגון nsatc.net או akadns.net בשמות התחומים של Microsoft?

Microsoft 365 ושירותים אחרים של Microsoft משתמשים בכמה שירותים של ספקים חיצוניים כגון Akamai ו- MarkMonitor כדי לשפר את חוויית Microsoft 365 שלך. כדי להמשיך להעניק לך את החוויה הטובה ביותר האפשרית, אנו עשויים לשנות שירותים אלה בעתיד. תחומים של ספקים חיצוניים עשויים לארח תוכן, כגון CDN, או שהם עשויים לארח שירות, כגון שירות ניהול תעבורה גיאוגרפית. חלק מהשירותים הנמצאים כעת בשימוש כוללים:

MarkMonitor נמצא בשימוש כאשר אתה רואה בקשות הכוללות *.nsatc.net. שירות זה מספק הגנה וניטור של שמות תחומים כדי להגן מפני התנהגות זדונית.

ExactTarget נמצא בשימוש כאשר אתה רואה בקשות ל - *.exacttarget.com. שירות זה מספק ניהול קישורים בדואר אלקטרוני וניטור מפני התנהגות זדונית.

Akamai נמצא בשימוש כאשר אתה רואה בקשות הכוללות אחד מ- FQDN הבאים. שירות זה מציע שירותי רשת של אספקת תוכן ו- DNS גיאוגרפי.

*.akadns.net
*.akam.net
*.akamai.com
*.akamai.net
*.akamaiedge.net
*.akamaihd.net
*.akamaized.net
*.edgekey.net
*.edgesuite.net

אני צריך את הקישוריות המינימלית האפשרית עבור Microsoft 365

כי Microsoft 365 הוא חבילה של שירותים שנבנו כדי לתפקד דרך האינטרנט, ההבטחות לגבי מהימנות וזמינות מבוססות על שירותי אינטרנט רגילים רבים הזמינים. לדוגמה, שירותי אינטרנט רגילים כגון DNS, CRL ו- CDNs חייבים להיות נגישים כדי להשתמש ב- Microsoft 365 בדיוק כפי שהם חייבים להיות נגישים כדי להשתמש ברוב שירותי האינטרנט המודרניים.

חבילת Microsoft 365 מנותקת לאזורי שירות ראשיים. ניתן להפוך אזורים אלה לזמינים באופן סלקטיבי עבור קישוריות, שקיים אזור משותף, שהוא תלות לכולם ותלוי תמיד.

בנוסף לשירותים בסיסיים באינטרנט, ישנם שירותים של ספקים חיצוניים המשמשים רק לשילוב פונקציונליות. למרות שהשירותים האלה דרושים לשילוב, הם מסומנים כאופציונליים במאמר נקודות קצה של Microsoft 365. משמעות הדבר היא שפונקציונליות הליבה של השירות ממשיכה לפעול אם נקודת הקצה אינה נגישה. כל נקודת קצה של רשת הנדרשת כוללת את התכונה הנדרשת מוגדרת ל- True. כל נקודת קצה של רשת אופציונלית כוללת את התכונה הנדרשת מוגדרת ל- False ותכונת ההערות הפרטית על הפונקציונליות החסרה שאתה אמור לצפות לה אם הקישוריות חסומה.

אם אתה מנסה להשתמש ב- Microsoft 365 ואתה מוצא שהשירותים של ספקים חיצוניים אינם נגישים, ברצונך להבטיח שכל שמות ה- FQDN המסומנים כנדרשים או אופציונליים במאמר זה מותרים באמצעות ה- Proxy וחומת האש.

כיצד ניתן לבצע לחסום גישה לשירותים הצרכניים של Microsoft?

התכונה 'הגבלות דיירים' תומכת כעת בחסימת השימוש בכל יישומי Microsoft לצרכנים (אפליקציות MSA), כגון OneDrive, Hotmail ו- Xbox.com. תכונה זו משתמשת בכותרת עליונה נפרדת login.live.com הקצה. לקבלת מידע נוסף, ראה שימוש בהגבלות דיירים לניהול גישה ליישומי ענן SaaS.

חומת האש שלי דורשת כתובות IP ואין לה אפשרות לעבד כתובות URL. כיצד ניתן לבצע את התצורה שלו עבור Microsoft 365?

Microsoft 365 אינו מספק כתובות IP של כל נקודות הקצה הנדרשות של הרשת. חלקן מסופקות ככתובות URL בלבד, והן מחולקות לקטגוריות כברירת מחדל. כתובות URL קטגוריית ברירת המחדל הנדרשות אמורות להיות מותרות באמצעות שרת Proxy. אם אין לך שרת Proxy, עיין באופן שבו הגדרת בקשות אינטרנט עבור כתובות URL שמשתמשים מקלידים בשורת הכתובת של דפדפן אינטרנט; גם המשתמש אינו מספק כתובת IP. כתובות ה- URL של קטגוריות ברירת המחדל של Microsoft 365 שאינן מספקות כתובות IP צריכות להיות מוגדרות באותו אופן.

מאמרים קשורים

כתובת IP של Microsoft 365 ושירות אינטרנט של כתובת URL

טווחי IP של Microsoft Azure Datacenter

Microsoft Public IP Space

דרישות תשתית רשת עבור Microsoft Intune

כתובות URL וטווחי כתובות IP של Microsoft 365

עקרונות קישוריות הרשת של Microsoft 365