Prima la latenza, poi la banda

Il dimensionamento parte dal profilo d’uso: chi lavora su testo e posta consuma poco, un profilo grafico con più monitor, video e redirezione di webcam o stampanti consuma molto di più. Microsoft pubblica stime di banda per profilo, ma vanno prese come punto di partenza, non come verità.

Il concetto che conta è un altro: superata una soglia ragionevole, aggiungere banda non migliora l’esperienza. A determinare la percezione dell’utente è la latenza (round-trip time), insieme a jitter e perdita di pacchetti. Ne discendono due decisioni: collocare i session host nella region più vicina agli utenti, anche a costo di più host pool regionali, e accorciare il percorso del traffico. La scelta della region si valuta prima del deploy con l’Azure Virtual Desktop Experience Estimator.

Il percorso della sessione: gateway, Shortpath, Multipath

Per impostazione predefinita si usa la reverse connect transport: client e session host aprono entrambi una connessione in uscita verso il gateway del servizio, che fa da tramite. È il modello che evita porte in ingresso sui session host, ma aggiunge un hop.

RDP Shortpath stabilisce invece un trasporto UDP diretto fra client e session host, riducendo la latenza. Ne esistono due varianti. Per reti gestite, client e session host si vedono su una rete privata (site-to-site VPN, ExpressRoute, peering): il session host espone una porta UDP dedicata, da consentire in NSG e firewall locale. Per reti pubbliche, pensata per l’utente su internet, il percorso UDP viene negoziato con meccanismi STUN/TURN e può risultare diretto oppure relayed quando il NAT non consente il collegamento punto a punto.

Se UDP non è disponibile la sessione ricade sul trasporto via gateway: Shortpath è un’ottimizzazione, non un requisito di funzionamento. RDP Multipath ne è l’evoluzione, con più percorsi valutati e usati insieme per resistere ai cambi di rete; all’esame conta il principio, non il dettaglio implementativo.

Azure Private Link porta il traffico verso gli endpoint del servizio dentro la rete privata, con private endpoint distinti per la scoperta delle risorse (il feed) e per la connessione all’host pool. Serve dove la policy vieta il transito su internet pubblico, e richiede un DNS privato coerente: senza, il client continua a risolvere gli endpoint pubblici. Non copre tutto il traffico in uscita dei session host verso Microsoft Entra ID, storage o aggiornamenti.

Il QoS con marcatura DSCP ha senso solo dove la congestione è governabile — LAN, collegamento verso il datacenter, ExpressRoute — perché su internet pubblico nessuno garantisce che la marcatura venga rispettata. Presupposto tecnico: la marcatura agisce sul flusso UDP di Shortpath; senza Shortpath non c’è un flusso distinguibile su cui applicarla.

Diagnosticare

Il round-trip time si legge nei dati di connessione raccolti da Azure Virtual Desktop Insights in Log Analytics, che indicano anche se il trasporto in uso è UDP o TCP: è il primo controllo per sapere se Shortpath è davvero attivo. Lato utente, Windows App mostra le informazioni della connessione in corso.

Sul fronte connettività, i session host devono raggiungere gli FQDN e gli endpoint richiesti dal servizio (agent, broker, autenticazione, telemetria); se l’uscita è filtrata si usano service tag e FQDN tag, non liste di IP scritte a mano. Un proxy o un’ispezione TLS sul traffico AVD è la causa classica di sessioni lente, disconnessioni e registrazioni dell’agent fallite: quel traffico va escluso dall’ispezione e, in ogni caso, un proxy non trasporta UDP e annulla Shortpath.

Trappole tipiche d’esame

  • Sessioni lente e la proposta è “più banda” → misura prima il round-trip time: oltre una soglia minima la banda non cambia la reattività. Le leve vere sono la region dei session host e Shortpath.
  • Utenti in mobilità su internet → RDP Shortpath per reti pubbliche: la variante per reti gestite presuppone connettività privata fra client e session host, quindi non è applicabile a chi lavora da casa o in viaggio.
  • QoS end-to-end richiesto per utenti domestici → non è realizzabile: DSCP viene onorato solo sui dispositivi di rete che controlli; su internet pubblico è ignorato o riscritto.
  • QoS configurato ma senza effetto → manca RDP Shortpath: senza trasporto UDP diretto non esiste un flusso identificabile da marcare, quindi abilitare Shortpath è il prerequisito.
  • Il traffico non deve uscire su internet pubblico → Private Link con DNS privato: i private endpoint da soli non bastano se la risoluzione dei nomi continua a puntare agli endpoint pubblici.
  • Agent non registrato o disconnessioni dopo l’introduzione del proxy → escludi il traffico AVD dall’ispezione TLS: gli endpoint richiesti devono restare raggiungibili senza intercettazione, e il proxy disattiva di fatto Shortpath.