Fehlerbehebung bei MS Teams-Problemen mit der Konfiguration des Zugriffsprofils ohne Vertrauenswürdigkeit

Problem

Benutzer, die sich in einem ZTA-Profil (Zero Trust Access) für den sicheren Internetzugriff registriert haben, haben mit Verbindungsproblemen durch Microsoft Teams zu kämpfen. Wenn Benutzer zum ZTA-Profil hinzugefügt werden, werden die Anrufe von Microsoft Teams unerwartet getrennt, und andere Benutzer können keine Anrufe beim betroffenen Benutzer initiieren. Die Verbindung wird jedoch erfolgreich hergestellt, wenn der betroffene Benutzer den Anruf von seiner Seite aus initiiert.

Das Problem ist auf Benutzer beschränkt, die an das ZTA-Profil angebunden sind. Dies weist darauf hin, dass ZTA-Richtlinien oder Routing-Konfigurationen die Anrufverbindungen von Teams beeinträchtigen. Datenverkehrsprotokolle zeigen, dass Datenverkehr von Microsoft Teams von Prozessen wie ms-teams.exe zu IP-Adressen in erforderlichen Bereichen (wie z. B. 52.115.245.30:3480, die Teil von 52.112.0.0/14 sind) vom ZTA-Client abgefangen wird, anstatt direkt ins Internet zu gehen.

Umwelt

• Profilkonfiguration für Cisco Secure Access mit Zero Trust Access (ZTA)

• ZTA-Profil konfiguriert mit "Use ZTA to secure all Internet destination" (ZTA zum Sichern aller Internetziele verwenden)

• Microsoft Teams-Anwendung

• Cisco Secure Client mit ZTA-Funktionen

• Benutzer, die sich im ZTA-Profil für sicheren Internetzugriff angemeldet haben

Auflösung

Um das Problem zu beheben, fügen Sie in der ZTA-Profilkonfiguration Datenverkehrsausnahmen von Microsoft Teams hinzu, damit der Team-Datenverkehr den ZTA-Tunnel umgehen und eine direkte Verbindung mit dem Internet herstellen kann:

1. Navigieren Sie zu Dashboard > Endbenutzerverbindungen > Zugriff ohne Vertrauensstellung, und suchen Sie das betroffene ZTA-Profil.

2. Wählen Sie das ZTA-Profil und dann Bearbeiten > Sicherer Internetzugriff.

3. Fügen Sie diese IP-Bereiche und FQDNs der Ausnahmeliste gemäß der offiziellen Dokumentation von Microsoft hinzu:

IP-Bereiche:

52.112.0.0/14
52.122.0.0/15
2603:1063::/38
2603:1027::/48
2603:1037::/48
2603:1047::/48
2603:1057::/48
2620:1ec:6::/48
2620:1ec:40::/42

FQDNs

*.lync.com
*.teams.cloud.microsoft
*.teams.microsoft.com
teams.cloud.microsoft
teams.microsoft.com
*.keydelivery.mediaservices.windows.net
*.streaming.mediaservices.windows.net
aka.ms

4. Fügen Sie eine Beschreibung für die Ausnahmen hinzu, z. B.:

MS Teams exception as per: https://learn.microsoft.com/en-us/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide#microsoft-teams

5. Speichern Sie die Konfigurationsänderungen. Warten Sie einige Minuten, bis die Änderungen übernommen wurden.

6. Stellen Sie sicher, dass die ZTA-Clientrichtlinie auf betroffenen Endpunkten neu synchronisiert wird. Dies kann einen Neustart des Zero Trust Access Agent-Dienstes oder einen Neustart des Client-Geräts erfordern.

7. Testteams rufen Funktionalität auf, um zu bestätigen, dass:

• Eingehende Anrufe bei betroffenen Benutzern werden jetzt erfolgreich verbunden

• Anrufe von Teams werden nicht mehr unerwartet getrennt

• Teams leiten Datenverkehr am ZTA-Tunnel vorbei und stellen eine direkte Verbindung zum Internet her

Ursache

Das Problem wird dadurch verursacht, dass Datenverkehr von Microsoft Teams nicht direkt mit dem Internet verbunden, sondern durch den ZTA Secure Internet Access-Tunnel geleitet wird. Wenn das ZTA-Profil mit der Option "Alle Internet-Ziele sichern" konfiguriert ist, wird der Medienverkehr von Teams abgefangen, einschließlich der UDP-Flüsse, die für die Echtzeitkommunikation erforderlich sind. Dies führt zu Verbindungsproblemen, insbesondere bei eingehenden Anrufen und Medien-Streams.

Microsoft empfiehlt, den Datenverkehr von Microsoft Teams von Proxyservern und die SSL-Überprüfung zu umgehen, um optimale Leistung und Anrufqualität zu erzielen. Wenn in der ZTA-Konfiguration die notwendigen Ausnahmen für den Datenverkehr von Teams fehlen, wird der Medienfluss der Anwendung über den ZTA-Client verarbeitet, anstatt den für die Echtzeitkommunikation erforderlichen direkten Pfad zu wählen.

Verwandte Inhalte

• Microsoft 365 URLs und IP-Adressbereiche - Microsoft Teams

• Empfehlungen für Microsoft Teams Proxy-Server

• Fehlerbehebung und Erfassung grundlegender Informationen für Cisco Secure Access

• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	10-Nov-2026	Erstveröffentlichung