RDP Shortpath und Private Link machen AVD schneller und sicherer

In Projekten mit Azure Virtual Desktop (AVD) werde ich besonders oft gefragt, wie sich die Konnektivität schnell und sicher gestalten lässt, ohne sie unnötig kompliziert zu machen. In vielen Tenants begegnen mir Setups, die sich noch mit klassischen Reverse Proxies, VPNs oder offenen Ports abmühen, obwohl Microsoft längst bessere Optionen geschaffen hat. Zu jeder modernen Netzwerkarchitektur für AVD gehören heute AVD RDP Shortpath und Private Link. Offen bleibt oft, welche Variante wann sinnvoll ist, wie man den tatsächlich genutzten Pfad prüft und worauf es bei DNS und Troubleshooting ankommt.

RDP Shortpath bringt den Verkehr per UDP direkt zum Session Host

Das Prinzip von RDP Shortpath ist schnell erklärt. Der Remote-Desktop-Verkehr wird nicht mehr durch einen zentralen Gateway-Dienst (Azure Gateway) getunnelt, sondern läuft über eine direkte UDP-Verbindung zwischen Client und Session Host. Audio und Video laufen dadurch spürbar flüssiger, und die Latenz sinkt – sofern das Netzwerk mitspielt. Microsoft unterscheidet dabei zwischen „Managed Networks“ und „Public Networks“ (Details). In einem Managed Network, etwa wenn Client und Host im selben lokalen Netz liegen oder per VPN erreichbar sind, baut sich Shortpath direkt über UDP auf. Im Public Network, zum Beispiel beim mobilen Arbeiten ohne Client-VPN, kommt der STUN/TURN-Mechanismus zum Einsatz. Er ermöglicht UDP trotz NAT und Firewall, kommt aber nicht in jedem Fall zuverlässig durch.

Wer RDP Shortpath aktivieren möchte, fängt am besten im Azure Portal → AVD Host Pool → Einstellungen → RDP-Eigenschaften an. Dort lassen sich Shortpath for Managed Networks und seit einiger Zeit auch Shortpath for Public Networks getrennt einschalten. Die Session Hosts müssen dafür UDP-Verbindungen annehmen können, Firewall und NSG müssen diesen Verkehr also zulassen. Für Public Networks braucht es zusätzlich ausgehenden Zugriff auf die TURN-Server von Microsoft.

Private Link holt die AVD-Steuerungsebene ins eigene VNet

Shortpath optimiert den eigentlichen Remote-Desktop-Traffic. Bei AVD Private Link geht es dagegen um den Zugang zum AVD-Dienst selbst, also um die Steuerungsebene, über die Feed, Workspace und Host-Pool-Registrierungen laufen (Überblick). Ohne Private Link erreichen die Hosts die Microsoft-Endpunkte über das öffentliche Internet. Mit Private Link bindet man diese Service-Endpunkte direkt in das eigene private Azure Virtual Network ein. In streng regulierten Branchen führt daran kaum ein Weg vorbei, etwa wenn die Vorgaben überhaupt keine offene Verbindung ins Internet erlauben.

Eingerichtet wird das über eigene Private Endpoints, je nach Bedarf für die Ressourcentypen „Feed“, „Workspace“ und „Host Pool“. Zu jedem Endpoint gehört eine eigene private DNS-Zone (z. B. „privatelink.wvd.microsoft.com“). Die Session Hosts müssen ihre Anfragen per DNS in diese Private-Link-Zone auflösen. An genau dieser Stelle hakt es regelmäßig in Projekten, die nicht sauber dokumentiert und getestet wurden.

Die Verbindungsinformationen im Client zeigen den aktiven Pfad

Admins fragen mich häufig, woran sie erkennen, ob Shortpath tatsächlich greift. Die Antwort liefern die Verbindungsinformationen (Connection Info) des Remote-Desktop-Clients, ob unter Windows, im Web oder unter macOS. Nach dem Aufbau einer Session genügt ein Klick auf das Verbindungssymbol im Client. Dort steht, ob die Verbindung über „RDP Shortpath (UDP)“ läuft und ob der Client sie als „Managed Network“ oder „Public Network“ erkannt hat. Erscheint stattdessen nur „Reverse Connect (TCP)“, stimmt etwas nicht. Meist blockiert dann eine Firewall UDP, oder ein DNS-Problem verhindert die Private-Link-Auflösung.

Tipp aus der Praxis: Shortpath sollte man immer an verschiedenen Standorten, in unterschiedlichen Netzwerken und vor allem mit unterschiedlichen Clienttypen testen. Oft wird erst dabei sichtbar, wo Routing oder Firewallregeln nicht sauber greifen.

AVD Insights deckt Verbindungsprobleme und fehlendes Shortpath auf

Tickets wie „Es ist langsam“ oder „Die Verbindung bricht ab“ bleiben kaum einem AVD-Projekt erspart. Weiter hilft dann Azure Virtual Desktop Insights, das zentrale Monitoring im Azure Portal (setzt die Integration mit Azure Monitor voraus). Damit es funktioniert, muss der Hostpool mit einem Log Analytics Workspace verbunden und die Diagnose für AVD aktiviert sein. Besonders nützlich ist die Übersicht der Session-Details. Sie zeigt für jede Sitzung, ob Shortpath genutzt wurde, welcher Tunneltyp vorlag und welche Verbindungsabbrüche es gab. Über die Suche in Insights lassen sich gezielt Sessions ohne Shortpath herausfiltern, sodass Engpässe im Netzwerk oder im DNS schnell auffallen.

Eine typische Abfrage für Verbindungsdetails (Log Analytics Workspace → Logs, Rolle: Monitoring Reader):

AVDConnections
| where ShortpathUsed == true
| project UserPrincipalName, ShortpathType, ConnectionStartTime

Ein Diagramm zeigt das Zusammenspiel von Shortpath und Private Link

Welche Pfade und Dienste wie ineinandergreifen, hat man nicht immer auf Anhieb im Kopf. Das folgende Diagramm zeigt den Weg vom Client bis zum Session Host mit den möglichen Verbindungswegen:

flowchart TD
    Client["AVD Client"] -->|"Feed/Workspace/Host Pool Lookup"| PrivateLink["AVD Private Link Endpoint"]
    PrivateLink -->|"Service Connection"| SessionHost["AVD Session Host"]
    Client -->|"Shortpath UDP (Managed/Public)"| SessionHost
    Client -->|"Fallback TCP (Reverse Connect)"| SessionHost

Abbildung: Verbindungspfade zwischen AVD-Client, Private Link und Session Host.

Shortpath und Private Link ergänzen sich in den meisten Umgebungen

Shortpath für Managed oder Public Networks und Private Link schließen sich nicht gegenseitig aus. Am besten aktiviert man beides, Shortpath für die bestmögliche Performance und Private Link für die Steuerungsebene, damit die Compliance-Anforderungen erfüllt sind und der Datenverkehr intern bleibt. In Projekten mit hohen Sicherheitsanforderungen, etwa im Finanzsektor oder im Gesundheitswesen, kommt kaum noch ein Setup ohne Private Link aus. Das liegt auch daran, dass klassische Firewall-Ausnahmen für Microsoft-Endpunkte damit weitgehend wegfallen. In einem rein internen Netzwerk, in dem alle Clients und Hosts direkt verbunden sind, bringt Shortpath for Managed Networks oft schon viel. Für mobile Mitarbeiter wird Shortpath for Public Networks (STUN/TURN) zunehmend wichtig, verlangt aber etwas mehr Tests und Monitoring.

Wie sich AVD-Umgebungen in der Praxis absichern lassen, beschreibe ich ausführlicher im Artikel Sicherheit für Azure Virtual Desktop: ein Praxisleitfaden.

Performance und Sicherheit schließen sich bei AVD nicht aus

Mir fällt immer wieder auf, dass Teams am besten fahren, wenn sie sich früh um DNS, Firewallregeln und Monitoring kümmern und alle Verbindungswege von Anfang an sauber dokumentieren. AVD RDP Shortpath und Private Link sind kein Hexenwerk. Oft sind es aber genau diese Detailthemen, die Performance und Sicherheit im Alltag deutlich verbessern. Wer Monitoring und Verbindungsprüfung konsequent nutzt, weiß im Zweifel, welche Daten tatsächlich wohin fließen, und findet Fehler, bevor sie zu einem echten Problem werden.