适用于 Teams 和 Skype for Business Online 的代理服务器

  • 项目
  • 适用于:
    Skype for Business, Microsoft Teams

本文提供有关将代理服务器与 Teams 或Skype for Business配合使用的指导。

Microsoft 365 连接

高质量、低延迟的连接是在 Microsoft Teams 和Skype for Business中实现通话质量的关键。

我们建议最终用户设备与 Microsoft 365 之间的路径尽可能短且直接，并利用靠近最终用户的本地 Internet 出口。 这使流量可以快速到达最近的 Microsoft 网络服务前端位置。

许多组织现在在其网络中使用代理服务器。 由于 Microsoft Teams 和Skype for Business媒体流量已加密，因此通过代理服务器传递此流量不会使流量更加安全。

代理也可能导致问题。 通过尝试通过代理服务器路由 Teams 流量，可能会因延迟和数据包丢失而引入环境与性能相关的问题。 原因可能是代理无法处理通过它的流量，或者错误地将流量路由到离最终用户更远的 Microsoft 网络服务前端位置。

此类问题将导致 Teams 和Skype for Business出现负面体验。

建议 Teams 流量绕过代理服务器基础结构，包括 SSL 检查。 你可能希望通过将 Teams 电话和会议室设备放在其自己的 VLAN 上并为其提供 Internet 访问来实现此目的。

Windows-Based Teams 设备

基于 Windows 的 Teams 会议室和 Surface Hub 支持某些代理服务器，但不支持需要身份验证的代理服务器。

建议这些设备绕过代理基础结构，并通过防火墙访问 Microsoft 365 服务。

Android-Based Teams 设备

基于 Android 的 Teams 设备（包括 Teams 电话、面板、显示器和板）不支持经过身份验证的代理服务器或租户限制。 有关未经身份验证的代理支持的详细信息，请联系 OEM 合作伙伴。

建议这些设备绕过代理基础结构，并通过防火墙访问 Microsoft 365 服务。

如果需要使用代理服务器

某些组织无法绕过 Teams 代理或Skype for Business流量。 如果你是这种情况，需要留意上面提到的问题。

注意

如果在代理基础结构上使用专用签名证书 (通常用于 SSL 检查) ，则需要在 Teams 会议室设备上安装专用签名证书和证书链，以允许设备信任证书。 不支持在 Teams 电话和其他基于 Android 的 Teams 设备上安装专用签名的证书。

Microsoft 还强烈建议：

  • 使用本地外部 DNS 解析 (某些基于云的代理解决方案可能会导致 DNS 解析发生在其他位置) 。

  • 确保 Teams 设备与我们的服务之间的路径尽可能短且直接

  • 使用基于 UDP 的直接路由，而不是依赖于基于 TCP 的媒体路由

  • 允许 Teams Media (3478-3481 的 UDP 流量通过防火墙)

  • 允许所有必需的 URL 和 IP，包括 Azure、Office 365、Intune和Teams 会议室专业版 (，) 通过防火墙使用

  • 遵循网络指南中的其他建议： 为 Teams 准备组织的网络

遵循本指南应尽可能减少潜在问题。

有关 Teams 实时事件和 Teams 仅查看会议的其他建议

Teams 实时事件和 Teams 仅查看会议的查看者通过 TCP HTTPS 接收流。 建议绕过代理服务器并禁用以下 URL 的 SSL 检查：

  • *.media.azure.net
  • *.bmc.cdn.office.net

Microsoft 365 和 Office 365 网络连接原则

为 Teams 准备贵组织的网络