Considerazioni relative alla topologia di rete quando si usa il proxy applicazione di Azure Active DirectoryNetwork topology considerations when using Azure Active Directory Application Proxy

Questo articolo presenta alcune considerazioni relative alla topologia di rete quando si usa il proxy applicazione di Azure Active Directory (Azure AD) per la pubblicazione delle applicazioni e il relativo accesso da remoto.This article explains network topology considerations when using Azure Active Directory (Azure AD) Application Proxy for publishing and accessing your applications remotely.

Flusso del trafficoTraffic flow

Quando un'applicazione viene pubblicata tramite il proxy applicazione di Azure AD, il traffico dagli utenti alle applicazioni passa attraverso tre connessioni:When an application is published through Azure AD Application Proxy, traffic from the users to the applications flows through three connections:

  1. L'utente si connette all'endpoint pubblico del servizio proxy di applicazione di Azure AD in AzureThe user connects to the Azure AD Application Proxy service public endpoint on Azure
  2. Il servizio proxy di applicazione si connette al connettore del proxy di applicazioneThe Application Proxy service connects to the Application Proxy connector
  3. Il connettore del proxy di applicazione si connette all'applicazione di destinazioneThe Application Proxy connector connects to the target application

Diagramma che illustra il flusso del traffico dall'utente all'applicazione di destinazione

Località del tenant e servizio proxy applicazioneTenant location and Application Proxy service

Al momento dell'iscrizione a un tenant di Azure AD, l'area del tenant è determinata dal paese che si specifica.When you sign up for an Azure AD tenant, the region of your tenant is determined by the country you specify. Quando si abilita il proxy di applicazione, le istanze del servizio proxy di applicazione per il tenant vengono scelte o create nella stessa area del tenant di Azure AD o nell'area più vicina.When you enable Application Proxy, the Application Proxy service instances for your tenant are chosen or created in the same region as your Azure AD tenant, or the closest region to it.

Se ad esempio l'area del tenant di Azure AD è Unione Europea (UE), tutti i connettori del proxy applicazione usano istanze del servizio nei data center di Azure nell'Unione Europea.For example, if your Azure AD tenant’s region is the European Union (EU), all your Application Proxy connectors use service instances in Azure datacenters in the EU. Quando gli utenti accedono alle applicazioni pubblicate, il traffico passa attraverso le istanze del servizio proxy applicazione in questa località.When your users access published applications, their traffic goes through the Application Proxy service instances in this location.

Considerazioni per ridurre la latenzaConsiderations for reducing latency

Tutte le soluzioni proxy introducono latenza nella connessione di rete.All proxy solutions introduce latency into your network connection. Indipendentemente dalla soluzione proxy o VPN scelta per l'accesso remoto, include sempre un set di server che consente la connessione all'interno della rete aziendale.No matter which proxy or VPN solution you choose as your remote access solution, it always includes a set of servers enabling the connection to inside your corporate network.

Le organizzazioni includono in genere endpoint server nella rete perimetrale.Organizations typically include server endpoints in their perimeter network. Con il proxy applicazione di Azure AD, tuttavia, il traffico passa attraverso il servizio proxy nel cloud, mentre i connettori si trovano nella rete aziendale.With Azure AD Application Proxy, however, traffic flows through the proxy service in the cloud while the connectors reside on your corporate network. Non è richiesta alcuna rete perimetrale.No perimeter network is required.

Le sezioni successive contengono altri suggerimenti per ridurre ulteriormente la latenza.The next sections contain additional suggestions to help you reduce latency even further.

Posizionamento dei connettoriConnector placement

Il servizio proxy applicazione sceglie automaticamente la posizione delle istanze in base alla località del tenant.Application Proxy chooses the location of instances for you, based on your tenant location. L'utente deve comunque decidere dove installare il connettore e, in questo modo, può definire le caratteristiche di latenza del traffico di rete.However, you get to decide where to install the connector, giving you the power to define the latency characteristics of your network traffic.

Quando si configura il servizio proxy applicazione, è consigliabile porsi le domande seguenti:When setting up the Application Proxy service, ask the following questions:

  • Dove si trova l'app?Where is the app located?
  • Dove si trova la maggior parte degli utenti che accedono all'app?Where are most users who access the app located?
  • Dove si trova l'istanza del proxy applicazione?Where is the Application Proxy instance located?
  • È già disponibile una connessione di rete dedicata ai data center di Azure, ad esempio Azure ExpressRoute o VPN simile?Do you already have a dedicated network connection to Azure datacenters set up, like Azure ExpressRoute or a similar VPN?

Il connettore deve comunicare sia con Azure sia con le applicazioni (passaggi 2 e 3 nel diagramma di flusso del traffico) e la sua posizione influisce quindi sulla latenza di queste due connessioni.The connector has to communicate with both Azure and your applications (steps 2 and 3 in the Traffic flow diagram), so the placement of the connector affects the latency of those two connections. Quando si valuta il posizionamento del connettore, tenere presente quanto segue:When evaluating the placement of the connector, keep in mind the following points:

  • Se si intende usare la delega vincolata Kerberos (KCD) per l'accesso Single Sign-On, il connettore deve avere visibilità su un data center.If you want to use Kerberos constrained delegation (KCD) for single sign-on, then the connector needs a line of sight to a datacenter. È necessario inoltre che il server del connettore sia aggiunto a un dominio.Additionally, the connector server needs to be domain joined.
  • In caso di dubbi, installare il connettore più vicino all'applicazione.When in doubt, install the connector closer to the application.

Approccio generale per ridurre al minimo la latenzaGeneral approach to minimize latency

È possibile ridurre al minimo la latenza del traffico end-to-end ottimizzando ognuna delle connessioni di rete.You can minimize the latency of the end-to-end traffic by optimizing each network connection. Ogni connessione può essere ottimizzata eseguendo le operazioni seguenti:Each connection can be optimized by:

  • Ridurre la distanza tra le due estremità dell'hop.Reducing the distance between the two ends of the hop.
  • Scegliere la rete appropriata da attraversare.Choosing the right network to traverse. Ad esempio può risultare più veloce attraversare una rete privata anziché la rete Internet pubblica grazie ai collegamenti dedicati.For example, traversing a private network rather than the public Internet may be faster, due to dedicated links.

Se è presente un collegamento VPN o ExpressRoute dedicato tra Azure e la rete aziendale, è consigliabile usare tale collegamento.If you have a dedicated VPN or ExpressRoute link between Azure and your corporate network, you may want to use that.

Individuare la migliore strategia di ottimizzazioneFocus your optimization strategy

Non si può fare molto per controllare la connessione tra gli utenti e il servizio proxy di applicazione,There's little that you can do to control the connection between your users and the Application Proxy service. poiché gli utenti possono accedere alle applicazioni da una rete domestica, un bar o un paese diverso.Users may access your apps from a home network, a coffee shop, or a different country. È possibile invece ottimizzare le connessioni dal servizio proxy di applicazione ai connettori del proxy di applicazione e alle app.Instead, you can optimize the connections from the Application Proxy service to the Application Proxy connectors to the apps. È consigliabile incorporare i modelli seguenti nell'ambiente in uso.Consider incorporating the following patterns in your environment.

Modello 1: Inserire il connettore vicino all'applicazionePattern 1: Put the connector close to the application

Posizionare il connettore vicino all'applicazione di destinazione nella rete del cliente.Place the connector close to the target application in the customer network. Questa configurazione riduce al minimo il passaggio 3 nel diagramma della topografia, perché il connettore e l'applicazione sono vicini.This configuration minimizes step 3 in the topography diagram, because the connector and application are close.

Se il connettore deve comunicare con il controller di dominio, questo modello è vantaggioso.If your connector needs a line of sight to the domain controller, then this pattern is advantageous. Molti clienti usano questo modello poiché è adatto alla maggior parte degli scenari.Most of our customers use this pattern, because it works well for most scenarios. Questo modello può essere combinato anche con il modello 2, in modo da ottimizzare il traffico tra il servizio e il connettore.This pattern can also be combined with pattern 2 to optimize traffic between the service and the connector.

Modello 2: Sfruttare ExpressRoute con peering pubblicoPattern 2: Take advantage of ExpressRoute with public peering

Se ExpressRoute è configurato con peering pubblico, è possibile usare la connessione ExpressRoute più veloce per il traffico tra il proxy applicazione e il connettore.If you have ExpressRoute set up with public peering, you can use the faster ExpressRoute connection for traffic between Application Proxy and the connector. Il connettore risiede ancora nella rete, vicino all'app.The connector is still on your network, close to the app.

Modello 3: Sfruttare ExpressRoute con peering privatoPattern 3: Take advantage of ExpressRoute with private peering

Se tra Azure e la rete aziendale è configurato un collegamento VPN o ExpressRoute dedicato con peering privato, è disponibile un'altra opzione.If you have a dedicated VPN or ExpressRoute set up with private peering between Azure and your corporate network, you have another option. In questa configurazione, la rete virtuale in Azure è in genere considerata come un'estensione della rete aziendale.In this configuration, the virtual network in Azure is typically considered as an extension of the corporate network. È quindi possibile installare il connettore nel data center di Azure soddisfacendo comunque i requisiti di bassa latenza della connessione da connettore ad app.So you can install the connector in the Azure datacenter, and still satisfy the low latency requirements of the connector-to-app connection.

Poiché il traffico scorre attraverso una connessione dedicata, la latenza non è compromessa.Latency is not compromised because traffic is flowing over a dedicated connection. Si migliora inoltre la latenza dal servizio proxy applicazione al connettore perché il connettore è installato in un data center di Azure vicino alla posizione del tenant di Azure AD.You also get improved Application Proxy service-to-connector latency because the connector is installed in an Azure datacenter close to your Azure AD tenant location.

Diagramma che illustra l'installazione del connettore in un data center di Azure

Altri approcciOther approaches

Nonostante questo articolo sia incentrato sul posizionamento del connettore, per ottenere caratteristiche di latenza migliori è anche possibile modificare il posizionamento dell'applicazione.Although the focus of this article is connector placement, you can also change the placement of the application to get better latency characteristics.

Le organizzazioni spostano sempre più spesso le loro reti in ambienti in hosting.Increasingly, organizations are moving their networks into hosted environments. Ciò consente di posizionare le app in un ambiente ospitato che fa anche parte della rete aziendale rimanendo comunque all'interno del dominio.This enables them to place their apps in a hosted environment that is also part of their corporate network, and still be within the domain. In questo caso, i modelli illustrati nelle sezioni precedenti possono essere applicati alla nuova posizione dell'applicazione.In this case, the patterns discussed in the preceding sections can be applied to the new application location. Se si sta considerando questa opzione, vedere Azure AD Domain Services.If you're considering this option, see Azure AD Domain Services.

È possibile anche valutare l'opportunità di organizzare i connettori usando gruppi di connettori per raggiungere le app che si trovano in posizioni e reti diverse.Additionally, consider organizing your connectors using connector groups to target apps that are in different locations and networks.

Casi d'uso comuniCommon use cases

In questa sezione si esaminano alcuni scenari comuni.In this section, we walk through a few common scenarios. Si supponga che il tenant di Azure AD e di conseguenza l'endpoint del servizio proxy si trovino negli Stati Uniti.Assume that the Azure AD tenant (and therefore proxy service endpoint) is located in the United States (US). Le considerazioni illustrate in questi casi d'uso si applicano anche ad altre aree nel mondo.The considerations discussed in these use cases also apply to other regions around the globe.

In questi scenari ogni connessione viene chiamata "hop" e viene numerata per semplificare la discussione:For these scenarios, we call each connection a "hop" and number them for easier discussion:

  • Hop 1: dall'utente al proxy del servizio di applicazioneHop 1: User to the Application Proxy service
  • Hop 2: dal servizio del proxy di applicazione al connettore del proxy di applicazioneHop 2: Application Proxy service to the Application Proxy connector
  • Hop 3: dal connettore del proxy di applicazione all'applicazione di destinazioneHop 3: Application Proxy connector to the target application

Caso d'uso 1Use case 1

Scenario: l'app si trova in una rete dell'organizzazione negli Stati Uniti, con utenti nella stessa area.Scenario: The app is in an organization's network in the US, with users in the same region. Tra il data center di Azure e la rete aziendale non esiste alcun collegamento VPN o ExpressRoute.No ExpressRoute or VPN exists between the Azure datacenter and the corporate network.

Raccomandazione: seguire il modello 1 illustrato nella sezione precedente.Recommendation: Follow pattern 1, explained in the previous section. Per migliorare la latenza, valutare la possibilità di usare ExpressRoute, se necessario.For improved latency, consider using ExpressRoute, if needed.

Si tratta di un modello semplice.This is a simple pattern. Si ottimizza l'hop 3 posizionando il connettore vicino all'app.You optimize hop 3 by placing the connector near the app. Questa è anche una scelta naturale, perché il connettore viene in genere installato in modo che comunichi con l'app e il data center per eseguire operazioni KCD.This is also a natural choice, because the connector typically is installed with line of sight to the app and to the datacenter to perform KCD operations.

Diagramma che mostra che gli utenti, il proxy, il connettore e l'app sono tutti negli Stati Uniti

Caso d'uso 2Use case 2

Scenario: l'app si trova in una rete dell'organizzazione negli Stati Uniti, con utenti distribuiti in tutto il mondo.Scenario: The app is in an organization's network in the US, with users spread out globally. Tra il data center di Azure e la rete aziendale non esiste alcun collegamento VPN o ExpressRoute.No ExpressRoute or VPN exists between the Azure datacenter and the corporate network.

Raccomandazione: seguire il modello 1 illustrato nella sezione precedente.Recommendation: Follow pattern 1, explained in the previous section.

Anche in questo caso, il modello comune consiste nell'ottimizzare l'hop 3, posizionando il connettore vicino all'app.Again, the common pattern is to optimize hop 3, where you place the connector near the app. L'hop 3 non è in genere costoso, se si trova interamente all'interno della stessa area.Hop 3 is not typically expensive, if it is all within the same region. L'hop 1 può invece essere più costoso a seconda di dove si trova l'utente, perché gli utenti nel mondo devono accedere all'istanza del proxy applicazione negli Stati Uniti.However, hop 1 can be more expensive depending on where the user is, because users across the world must access the Application Proxy instance in the US. È opportuno notare che qualsiasi soluzione proxy presenta caratteristiche simili in relazione a utenti distribuiti in tutto il mondo.It's worth noting that any proxy solution has similar characteristics regarding users being spread out globally.

Diagramma che mostra che gli utenti sono distribuiti a livello globale, ma il proxy, il connettore e l'app sono negli Stati Uniti

Caso d'uso 3Use case 3

Scenario: l'app si trova in una rete dell'organizzazione negli Stati Uniti.Scenario: The app is in an organization's network in the US. Tra Azure e la rete aziendale è presente ExpressRoute con peering pubblico.ExpressRoute with public peering exists between Azure and the corporate network.

Raccomandazione: seguire i modelli 1 e 2 illustrati nella sezione precedente.Recommendation: Follow patterns 1 and 2, explained in the previous section.

Per prima cosa, posizionare il connettore il più vicino possibile all'app.First, place the connector as close as possible to the app. In questo modo, il sistema usa automaticamente ExpressRoute per l'hop 2.Then, the system automatically uses ExpressRoute for hop 2.

Se il collegamento ExpressRoute usa il peering pubblico, il traffico tra il proxy e il connettore viene trasmesso su tale collegamento.If the ExpressRoute link is using public peering, the traffic between the proxy and the connector flows over that link. L'hop 2 ha una latenza ottimizzata.Hop 2 has optimized latency.

Diagramma che mostra ExpressRoute tra il proxy e il connettore

Caso d'uso 4Use case 4

Scenario: l'app si trova in una rete dell'organizzazione negli Stati Uniti.Scenario: The app is in an organization's network in the US. Tra Azure e la rete aziendale è presente ExpressRoute con peering privato.ExpressRoute with private peering exists between Azure and the corporate network.

Raccomandazione: seguire il modello 3 illustrato nella sezione precedente.Recommendation: Follow pattern 3, explained in the previous section.

Posizionare il connettore nel data center di Azure connesso alla rete aziendale tramite il peering privato di ExpressRoute.Place the connector in the Azure datacenter that is connected to the corporate network through ExpressRoute private peering.

Il connettore può essere posizionato nel data center di Azure.The connector can be placed in the Azure datacenter. Dato che il connettore comunica comunque con l'applicazione e il data center tramite la rete privata, l'hop 3 rimane ottimizzato.Since the connector still has a line of sight to the application and the datacenter through the private network, hop 3 remains optimized. Viene anche ulteriormente ottimizzato l'hop 2.In addition, hop 2 is optimized further.

Diagramma che mostra il connettore in un data center di Azure ed ExpressRoute tra il connettore e l'app

Caso d'uso 5Use case 5

Scenario: l'app è in una rete aziendale dell'Unione europea, con l'istanza del proxy applicazione e la maggior parte degli utenti negli Stati Uniti.Scenario: The app is in an organization's network in the EU, with the Application Proxy instance and most users in the US.

Raccomandazione: posizionare il connettore vicino all'app.Recommendation: Place the connector near the app. Dato che gli utenti degli Stati Uniti accedono a un'istanza del proxy applicazione che si trova nella stessa area, l'hop 1 non è troppo costoso.Because US users are accessing an Application Proxy instance that happens to be in the same region, hop 1 is not too expensive. L'hop 3 è ottimizzato.Hop 3 is optimized. È consigliabile usare ExpressRoute per ottimizzare l'hop 2.Consider using ExpressRoute to optimize hop 2.

Diagramma che mostra gli utenti e il proxy negli Stati Uniti, con il connettore e l'app dell'Unione europea

In questa situazione è anche possibile prendere in considerazione l'uso di un'altra variante.You can also consider using one other variant in this situation. Se la maggior parte degli utenti nell'organizzazione si trova negli Stati Uniti, la rete potrebbe estendersi anche negli Stati Uniti.If most users in the organization are in the US, then chances are that your network extends to the US as well. Posizionare il connettore negli Stati Uniti e usare la linea della rete aziendale interna dedicata verso l'applicazione nell'Unione Europea.Place the connector in the US, and use the dedicated internal corporate network line to the application in the EU. In questo modo, gli hop 2 e 3 vengono ottimizzati.This way hops 2 and 3 are optimized.

Diagramma che mostra gli utenti, il proxy e il connettore negli Stati Uniti e l'app nell'Unione europea

Passaggi successiviNext steps