Office 365をVPN環境で快適に使うためにはこの4つのURLだけはインターネット 直接アクセスにすること！

クラウドサービスなのにVPNで全部社内ネットワーク通してアクセスするの違和感半端ない・・

Office 365だけでなく、様々なクラウドサービスが基幹システムやアプリケーションとして社内利用されているところが多いと思います。

しかしながら、外出先や自宅などからインターネット上にあるクラウドサービスへアクセスするのに、昔からあるVPNを通して社内ネットワーク経由でアクセスする形態であるところが多いのではないでしょうか。

私もそうなのですが、なんかこの使い方って違和感があるというかなんかもったいない気がしませんか。笑

もちろんそもそもクラウドサービスが業務に欠かせないシステムに採用されることは昔は想定されていなかったでしょうし、インターネット出口を監視、ログするためという理由は理解できますが・・。

VPN環境でも4つのURLをスプリットトンネリングするだけでOffice 365を高速化する！

Microsoftが上記のようなVPN環境下でも、特定URL/IPサブネットだけをVPN回線ではなくインターネット直接アクセスするように構成すること（VPNスプリットトンネリング）でパフォーマンスが最大化できるよ、と紹介されています。

How to quickly optimize Office 365 traffic for remote staff & reduce the load on your infrastructure

Over the past few weeks, Microsoft, and more specifically the Office 365 Network team have seen a large influx of questions from customers around how best to optimize their Office 365 connectivity as they work diligently to plan for a large amount of their userbase suddenly working from home. We’ve …

具体的にインターネット直接アクセスにすべきURL/IPサブネットが書かれているので非常に分かりやすいですね。

別のサイトで公開されているOffice 365アクセスに必要なURL/IP一覧の中で、”Optimize”になっている4つのURLと19のIPサブネットがインターネット直接アクセス推奨の対象となっています。

  • 104.146.128.0/17
  • 13.107.128.0/22
  • 13.107.136.0/22
  • 13.107.18.10/31
  • 13.107.6.152/31
  • 13.107.64.0/18
  • 131.253.33.215/32
  • 132.245.0.0/16
  • 150.171.32.0/22
  • 150.171.40.0/22
  • 191.234.140.0/22
  • 204.79.197.215/32
  • 23.103.160.0/20
  • 40.104.0.0/15
  • 40.108.128.0/17
  • 40.96.0.0/13
  • 52.104.0.0/14
  • 52.112.0.0/14
  • 52.96.0.0/14
  • 52.120.0.0/14

TCP ports 80/443

UDP ports 3478, 3479, 3480, 3481

URLだと、https://outlook.office365.com、https://outlook.office.com、https://<tenant>.sharepoint.com、https://<tenant>-my.sharepoint.com、の４つです。

2020/3/30現在”Optimize”になっているもので、これらは不定期に変わる可能性があるためURL/IPの”Optimize”は自動的に更新するか監視するかは必須になってきますね。

いくつかのメリット

これでVPN環境下でも快適にOffice 365を利用できるのであれば是非試してみたいところです。

特にTeamsのWeb会議の品質は通信環境のパフォーマンスがかなり影響するので、遠隔地でもなるべくパフォーマンスが出るようにする工夫は重要ですね。

さらに上記で挙げられているURL/IPは通信量も多いものだとのことなので、社内ネットワーク機器の負荷低減も期待できそうです。

さらにさらに、認証系の通信は今まで通りVPN経由となっているので、接続元IPを元にした条件付きアクセスでは信頼IPとして判定できますし、インターネット環境でVPNなしでOffice365を使えるようになるわけではありません。

一部VPNを通さずインターネット直接アクセスになるので社内のプロキシーやファイアーウォールでロギングできなくなる部分がありますが、そこはOffice 365側のAudit Logとかで確認ですね。

おわり

昨今はリモートワークの要求が急速に高まっているので、こういった既存VPNを利用する環境であったとしても、遠隔地からできるだけ快適に利用できるような工夫は是非取り入れたいですね。

コメント

コメントを投稿

Popular Posts

Outlookの検索フォルダー（Search Folders）配下に未読で件名が空のメールが 沢山ある

見に覚えのない未読メールが数千も？ 数千の未読メールが検索フォルダー配下の未読のメールに表示されることがあるそうです。 発生するのはOutlook2013以降。 Outlook の検索フォルダーに、件名が空白の予期しないメール アイテムが表示されます。 – Outlook Outlook 2013、Outlook 2016、Outlook 2019 または Outlook Office 365 ですべてのメール アイテム用の検索フォルダーを作成すると、フォルダーに件名が空白の予期しないアイテムが含まれます。 これらの項目にマウスを移動すると、次の情報が表示されます。 フォルダー内: PersonMetadata PersonMetadata フォルダは、 Outlook Customer Manager (OCM) によって作成および使用されます。 フォルダーは通常、Outlook ユーザー インターフェイスの他の部分から隠されています。 ただし、検索フォルダーには、このフォルダーのメール アイテムが含まれます。 これらの項目には空白の件名がありますが、OCM によってアクティブに使用されているため、削除または変更しないでください。 検索フォルダーの制約により、隠しフォルダー内のメール アイテムが含まれます。 廃止後も、PersonMetaData フォルダーとその中のアイテムは期間限定で使用できます。 このフォルダー内のアイテムを変更または削除すると、アイテムが再作成されたり、新しいアイテムが表示されたりする場合があります。 近い将来にサービスが変更されると、PersonMetaData フォルダーとそのアイテムがサービスから削除されます。 それまでは、次の回避策を使用して、非表示フォルダーのメールアイテムが検索結果に含まれないようにしてください。 [検索フォルダー] を右クリックし、[この検索フォルダーのカスタマイズ] をクリックします。 [参照] をクリックし、[サブフォルダの検索] オプションの選択を解除します。 含めるフォルダを手動で選択します。 要諦 検索フォルダー（Search Folders）下では、通常では見えないPersonMetaDataフォルダーとその中のアイテムが表示されてしまう。これはシステムが利用するものなので消してもまた出てきてしまう...
Read more »

[Exchange] 会議室の予定が主催者の名前になってしまうのが嫌な場合

Teams Roomsシステムとかで使ったり ExchangeやExchange Online上でリソースメールボックスを作り、会議室としてユーザーにOutlookやOWAから予約させたり予定を確認してもらうことがあります。Teams Roomsシステムなど、Teamsと連携した会議室システムの導入も増えてリソースメールボックスの作成も増えてるかもしれません。 Microsoft Teams Rooms 主催者の名前じゃなくて会議のSubject（タイトル）を見せたい デフォルトでリソースメールボックスの予定表は、予約された会議のSubject（タイトル）ではなく、予約者の表示名になります。 これは会議室を確認・予約しようとするユーザーが不特定多数いる場合を考えると、センシティブであったりショッキングな会議タイトルを秘匿できるので有用な設定です。 （”人員削減計画会議”とか”A社買収の計画について”とか見せたくないと思うので） しかし場合によっては予約者ではなく会議のタイトルが見える方がありがたい場合もあります。 そうした場合は会議室であるリソースメールボックスの以下の設定をを変更します。リソースメールボックスとして他にも設定しそうなパラメーターと共に紹介します。 Cmdlet Set-CalendarProcessing <リソースメールボックスの名前> Parameter -BookingWindowInDays 何日後の予定まで予約可能か -MaximumDurationInMinutes 1会議の最長時間を分で -AutomateProcessing 予約を自動で承諾、処理するか 選択肢はNone, AutoUpdate, AutoAccept オンプレミスかExchange Onlineか、GUIかPowerShellでデフォルト値が異なるようです。 -DeleteSubject 予約のSubject（タイトル）を削除するか この値がデフォルトTrueなので作ったまんまだと会議のタイトルはリソースメールボックス上の予定には表示されません。 -AddOrganizerToSubject 予約者の表示名を予約のSubject（タイトル）に追加するか この値がデフォルトTrueなので予約のタイトルには予約...
Read more »

Edge (Chromium版) で個人アカウントでのサインインを禁止する

Edgeに個人アカウントでのサインインをブロックする Block personal accounts from syncing in Microsoft Edge with Microsoft Intune | Peter Klapwijk – In The cloud 24-7 Today another blog post related to the new Microsoft Edge Chromium based browser and managing the browser with Microsoft Intune (Microsoft Endpoint Manager). This time about blocking personal accounts from syncing in Microsoft Edge. In the new Edge browser we have to option to sign-in to the browser and sync data like Favorites, Passwords and more. Chromium版Edge Chromium版のEdgeが数ヶ月前に正式リリースされました。Chromium版になってから動作が速くなったり、シンプルなUIでわりといいんじゃないでしょうか。特に自社Office 365内をインターネットと同じ感覚で検索できるMicrosoft Searchは便利ですね。 こうなってくると社内標準ブラウザーを定めている企業で標準のEdgeへの変更も大分視野に入ってくるのではないでしょうか、特に標準がまだIEだったりすると先がなさそうですからね。 個人的には依然EdgeよりChromeが好きなんですが、Office 365などと使うのにMicrosoft製のブラウザーの方が将来的に安心な気もするので業務利用ならEdgeでもいいかなと思います。 Edgeはサインインできます このEdgeですが、AADアカウントや個人のマイクロソフトアカウントでサインインができます。 ChromeやFirefoxをお使いなら想像がつくかと思いますが、お気に入り、アクセス履歴、パスワードなどをアカウントごとに同期できるので、同一アカウントでサインインすれば会社のEdgeでお気に入りに...
Read more »