Solucionar problemas de conectividad de Escritorio virtual de Azure

Problema

Las conexiones de Azure Virtual Desktop (AVD) fallan cuando los usuarios acceden a AVD desde la red de la oficina con Cisco Secure Access habilitado. Se observó este comportamiento específico:

• AVD funciona bien cuando se accede desde una red personal con Secure Access desactivado.

• AVD funciona bien cuando se accede desde la red de la oficina sin Secure Access.

• AVD no funciona cuando se accede desde cualquier red con Secure Access activado.

Este fallo de conectividad afecta a la capacidad de los usuarios para acceder a sus escritorios virtuales y a las operaciones empresariales de producción. El análisis de captura de paquetes mostró tráfico bidireccional en escenarios de trabajo y no de trabajo sin reinicios de TCP u otros indicadores de nivel de red que indicaban que Secure Access estaba terminando la conexión AVD.

Entorno

• Cisco Secure Access con acceso a red sin confianza (ZTNA) activado

• Perfil ZTNA configurado para utilizar ZTA para todos los destinos de Internet

• Implementación de Azure Virtual Desktop (AVD) a la que se accede a través de terminales de Microsoft

• Entorno de red de oficina con cliente Secure Access implementado

• Usuarios que acceden a AVD desde redes personales y de oficina

Resolución

El problema se resolvió agregando dominios relacionados con Microsoft AVD a la lista de excepciones de ZTA, permitiendo al cliente Secure Access eludir ZTNA para el tráfico AVD.

Análisis de diagnóstico

El análisis conjunto de resolución de problemas determinó que el perfil ZTNA se configuró para utilizar ZTA para todos los destinos de Internet, lo que provocó que Secure Access enrutara el tráfico continuo de WebSocket de AVD a través del proxy de nube de Secure Access. Este comportamiento provocó caídas de sesión porque Azure Virtual Desktop utiliza tráfico complejo y continuo (WebSockets) para transmitir sesiones de escritorio en tiempo real, y los proxies de nube están diseñados para inspeccionar páginas web estándar en lugar de administrar protocolos de transmisión.

Cambio en la configuración

Estos dominios relacionados con Microsoft AVD se agregaron a la lista de excepciones de ZTA:

*.wvd.microsoft.com
*.core.windows.net
*.servicebus.windows.net
*.events.data.microsoft.com

Al agregar estos dominios a la lista de excepciones de ZTA, se indicó al cliente de acceso seguro que ignorara por completo el tráfico específico de AVD. Esto permite que el tráfico AVD vaya directamente a Microsoft, omitiendo completamente el proxy ZTNA, que es exactamente lo que Microsoft requiere para que AVD funcione correctamente.

Validación

Después de aplicar la configuración de Excepciones ZTA, se informó que la conectividad AVD funcionaba normalmente durante el período de supervisión. Los usuarios pudieron acceder correctamente a sus escritorios virtuales desde la red de la oficina con el acceso seguro habilitado.

Causa

La causa raíz fue la configuración del perfil ZTNA que interceptó todo el tráfico de Internet, incluidas las conexiones de Azure Virtual Desktop. Cuando el tráfico de WebSocket de AVD se enrutaba a través del proxy de nube de Secure Access para su inspección, se producían pérdidas de conexión porque el proxy no estaba diseñado para gestionar la naturaleza de transmisión continua de las sesiones de AVD. AVD requiere conectividad directa con los terminales de Microsoft para mantener sesiones de transmisión de escritorio estables.

Contenido relacionado

• Terminales FQDN requeridos de Microsoft Azure Virtual Desktop

• Solución de problemas y recopilación de información básica para Cisco Secure Access

• Soporte técnico y descargas de Cisco

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	03-Nov-2026	Versión inicial