Microsoft Teams proxy: Sửa lỗi xác thực proxy và cấu hình
Microsoft Teams proxy là chủ đề hay gặp ở doanh nghiệp có proxy: Teams theo cấu hình proxy của hệ thống, và khi proxy cấu hình chưa hợp với Teams, người dùng gặp hộp thoại xác thực proxy hiện đi hiện lại, đăng nhập quay vòng, tin nhắn chậm, cuộc gọi giật hình mất tiếng. Microsoft khuyến nghị lưu lượng âm thanh, hình ảnh của Teams không đi qua proxy, nhưng nhiều mạng vẫn đẩy mọi thứ qua proxy kiểm tra. Bài này ProxyVN giải thích Teams dùng proxy thế nào, cách xử lý cho người dùng khi gặp lỗi xác thực, các bước cấu hình cho quản trị viên theo khuyến nghị của Microsoft, và cách phân biệt lỗi do proxy với lỗi khác. Xem thêm dịch vụ tại ProxyVN.
Tổng quan về Teams và proxy
Teams kết nối những gì
Loại lưu lượng |
Giao thức |
Đặc điểm |
|---|---|---|
Đăng nhập, xác thực |
HTTPS |
Tới máy chủ xác thực của Microsoft |
Tin nhắn, thông báo |
HTTPS, kết nối dài |
Cần độ trễ thấp, ổn định |
Tệp, tài liệu |
HTTPS |
Lưu trên SharePoint, OneDrive |
Âm thanh, video, chia sẻ màn hình |
UDP ưu tiên, TCP dự phòng |
Rất nhạy với độ trễ, mất gói |
Teams theo proxy hệ thống
Ứng dụng Teams trên Windows và macOS dùng cấu hình proxy của hệ điều hành: proxy thủ công, tệp PAC, tự động phát hiện. Teams không có ô nhập proxy riêng trong cài đặt. Cách cài proxy hệ thống trên Windows có trong bài cài proxy trên Windows 11.
Khuyến nghị của Microsoft
Microsoft xếp các địa chỉ Microsoft 365 thành nhóm, trong đó nhóm cần tối ưu (gồm lưu lượng media của Teams) nên đi thẳng, không qua proxy, không giải mã, không kiểm tra nội dung. Nguyên tắc này có trong tài liệu nguyên tắc kết nối mạng Microsoft 365. Lý do: proxy thêm độ trễ, không xử lý tốt UDP, làm chất lượng cuộc gọi kém.
Lỗi hộp thoại xác thực proxy hiện liên tục
Hộp thoại xác thực proxy hiện liên tục
Dấu hiệu
Teams bật hộp thoại yêu cầu tên đăng nhập, mật khẩu proxy. Nhập xong, vài phút sau lại hiện. Có khi hiện nhiều hộp thoại chồng nhau. Đăng nhập Teams quay vòng mãi không vào.
Nguyên nhân
- Proxy yêu cầu xác thực cơ bản (Basic) bằng tên, mật khẩu, mà Teams không lưu được thông tin này lâu dài.
- Proxy dùng xác thực tích hợp Windows (NTLM, Kerberos) nhưng máy không thuộc miền, hoặc phiên đăng nhập Windows không hợp lệ với proxy.
- Tệp PAC trả về proxy khác nhau cho các tên miền của Microsoft, mỗi proxy hỏi xác thực một lần.
- Mật khẩu tài khoản đã đổi nhưng Windows Credential Manager còn lưu mật khẩu cũ.
Cách xử lý cho người dùng
- Xoá thông tin xác thực cũ: mở Credential Manager, mục Windows Credentials, xoá các mục liên quan tới proxy, Microsoft, Teams. Khởi động lại Teams, nhập lại một lần.
- Đăng xuất Windows, đăng nhập lại để làm mới phiên xác thực tích hợp.
- Thử mạng khác (điểm phát sóng điện thoại). Teams chạy bình thường thì lỗi nằm ở proxy công ty.
- Báo quản trị mạng kèm thời điểm, ảnh chụp hộp thoại.
Kiến thức về lỗi xác thực proxy có trong bài sửa lỗi 407 Proxy Authentication Required.
Cách xử lý cho quản trị viên
- Miễn xác thực cho các tên miền Microsoft 365 trên proxy, đặc biệt nhóm tối ưu và nhóm cho phép.
- Dùng xác thực tích hợp (Kerberos) thay cho Basic để ứng dụng không phải hỏi mật khẩu.
- Rà tệp PAC để mọi tên miền Microsoft đi cùng một đường.
Cuộc gọi Teams giật, mất tiếng khi đi qua proxy
Lưu lượng âm thanh hình ảnh đi thẳng
Vì sao proxy làm cuộc gọi kém
Teams ưu tiên gửi âm thanh, hình ảnh bằng UDP tới máy chủ media của Microsoft. Proxy HTTP không chuyển UDP. Khi UDP bị chặn, Teams chuyển sang TCP rồi sang HTTPS qua proxy. Media qua TCP chịu ảnh hưởng của mất gói và độ trễ, kèm thêm độ trễ của proxy, cuộc gọi giật, trễ tiếng, hình vỡ.
Khuyến nghị: cho media đi thẳng
Theo tài liệu chuẩn bị mạng cho Teams, cho phép UDP cổng 3478 tới 3481 đi thẳng tới dải IP media của Microsoft, không qua proxy. Danh sách dải IP và tên miền cụ thể nằm trong danh sách URL và dải IP Microsoft 365, cập nhật định kỳ.
Cách làm trên tường lửa và proxy
- Tường lửa: cho phép UDP 3478 tới 3481 ra các dải IP media trong danh sách Microsoft.
- Proxy hoặc tệp PAC: trả về DIRECT cho tên miền nhóm tối ưu.
- Không giải mã HTTPS với tên miền của Teams.
- Với VPN: chia đường (split tunnel) cho lưu lượng Teams đi thẳng ra Internet thay vì qua VPN về công ty.
Kiểm tra chất lượng cuộc gọi
Trong cuộc gọi, mở phần thông tin cuộc gọi hoặc sức khoẻ cuộc gọi để xem giao thức đang dùng, độ trễ, tỷ lệ mất gói. Thấy giao thức là TCP thay vì UDP là dấu hiệu UDP đang bị chặn.
Danh sách tên miền và cổng cần mở cho Teams
Danh sách tên miền và cổng cần mở
Phân nhóm của Microsoft
Nhóm |
Ý nghĩa |
Khuyến nghị |
|---|---|---|
Optimize (Tối ưu) |
Lưu lượng nhạy cảm, khối lượng lớn, gồm media Teams |
Đi thẳng, không proxy, không giải mã |
Allow (Cho phép) |
Lưu lượng quan trọng nhưng ít nhạy cảm hơn |
Có thể qua proxy nhưng không giải mã |
Default (Mặc định) |
Lưu lượng còn lại |
Theo chính sách chung |
Cổng cơ bản
Cổng |
Giao thức |
Dùng cho |
|---|---|---|
443 |
TCP |
Đăng nhập, tin nhắn, tệp, media dự phòng |
80 |
TCP |
Một số kiểm tra chứng chỉ |
3478 tới 3481 |
UDP |
Âm thanh, video, chia sẻ màn hình |
Danh sách thay đổi theo thời gian, Microsoft cung cấp dịch vụ web để tự động lấy danh sách mới nhất. Quản trị viên nên tự động hoá việc cập nhật danh sách vào proxy, tường lửa.
Tài liệu proxy cũ cho Skype for Business
Microsoft có trang hướng dẫn proxy cho Skype for Business Online và Teams, mô tả yêu cầu proxy cho các ứng dụng giao tiếp: hướng dẫn proxy của Microsoft. Nguyên tắc chung vẫn áp dụng: media không qua proxy.
Teams mới và proxy
Teams mới dùng WebView2
Teams phiên bản mới trên Windows chạy trên nền WebView2 của Edge, thay cho nền Electron của Teams cũ. Cách đọc proxy theo cấu hình hệ thống tương tự Edge. Chính sách proxy áp dụng cho Edge trong doanh nghiệp cũng ảnh hưởng tới phần web của Teams mới.
Xoá bộ nhớ đệm Teams
Khi đổi proxy mà Teams vẫn lỗi, xoá bộ nhớ đệm của Teams. Với Teams mới, vào Settings, Apps, Installed apps, Microsoft Teams, Advanced options, Reset. Với Teams cũ, thoát Teams, xoá thư mục bộ nhớ đệm trong AppData của người dùng.
Teams trên trình duyệt và điện thoại
Teams trên trình duyệt
Mở teams.microsoft.com trên Edge, Chrome thì trình duyệt quyết định proxy. Cuộc gọi trên trình duyệt dùng WebRTC, cũng cần UDP để đạt chất lượng tốt. Trình duyệt đi qua tiện ích proxy có thể làm cuộc gọi kém.
Teams trên điện thoại
Ứng dụng Teams trên điện thoại theo proxy Wi-Fi của hệ điều hành. Dùng 4G thì không qua proxy công ty. Khi cuộc gọi trên Wi-Fi văn phòng kém mà trên 4G tốt, nguyên nhân thường là proxy hoặc tường lửa của mạng văn phòng.
Phân biệt lỗi do proxy với lỗi khác
Hiện tượng |
Do proxy |
Nguyên nhân khác |
|---|---|---|
Hộp thoại xác thực proxy |
Có |
Không |
Đăng nhập quay vòng |
Thường do proxy, xác thực |
Lỗi tài khoản, chính sách truy cập có điều kiện |
Tin nhắn chậm, không cập nhật |
Proxy cắt kết nối dài |
Sự cố dịch vụ Microsoft |
Cuộc gọi giật, dùng TCP |
UDP bị chặn, media qua proxy |
Mạng yếu, Wi-Fi kém |
Không tải được tệp |
Proxy chặn tên miền SharePoint |
Quyền truy cập tệp |
Mọi người cùng lỗi một lúc |
Proxy, mạng công ty |
Sự cố dịch vụ, xem trang trạng thái |
Khi mọi người trong nhiều công ty cùng lỗi, kiểm tra trang trạng thái dịch vụ Microsoft 365 trước khi sửa proxy.
Ví dụ: công ty 200 người cuộc gọi Teams giật
Một công ty 200 nhân viên chuyển sang Teams. Mọi lưu lượng ra Internet đi qua proxy có kiểm tra HTTPS. Cuộc gọi nhóm thường xuyên giật, mất tiếng, nhân viên phàn nàn.
Chẩn đoán
Thông tin cuộc gọi cho thấy Teams dùng TCP qua proxy. Tường lửa chặn mọi UDP ra ngoài. Proxy giải mã cả tên miền Teams.
Thay đổi
- Mở UDP 3478 tới 3481 ra các dải IP media của Microsoft.
- Sửa tệp PAC trả về DIRECT cho tên miền nhóm tối ưu.
- Loại trừ tên miền Microsoft 365 khỏi giải mã HTTPS.
- Miễn xác thực proxy cho tên miền Microsoft 365.
Kết quả
Cuộc gọi chuyển sang UDP đi thẳng, độ trễ giảm, hết giật. Hộp thoại xác thực proxy không còn xuất hiện. Proxy vẫn kiểm soát lưu lượng web khác như trước.
Quy trình gỡ lỗi Teams cho bộ phận hỗ trợ
Khi nhân viên báo Teams lỗi, bộ phận hỗ trợ nên đi theo một trình tự cố định để không bỏ sót và không mất thời gian thử ngẫu nhiên.
Bước 1: khoanh vùng người bị ảnh hưởng
Hỏi một người hay nhiều người cùng lỗi. Một người lỗi thì nghiêng về máy, tài khoản. Nhiều người cùng lúc thì nghiêng về proxy, mạng, hoặc sự cố dịch vụ. Xem trang trạng thái dịch vụ Microsoft 365 trong trung tâm quản trị để loại trừ sự cố phía Microsoft.
Bước 2: thử mạng khác
Cho người dùng chuyển máy sang điểm phát sóng điện thoại. Teams chạy bình thường trên mạng di động nghĩa là máy và tài khoản ổn, vấn đề nằm ở mạng công ty: proxy, tường lửa, DNS.
Bước 3: xem cấu hình proxy của máy
Trên Windows, xem cài đặt proxy trong Settings, và chạy lệnh netsh winhttp show proxy để xem proxy của dịch vụ hệ thống. Teams và các thành phần liên quan có thể dùng một trong hai. Hai cấu hình khác nhau là nguồn gây lỗi khó hiểu.
Bước 4: xem nhật ký Teams
Teams có tổ hợp phím tải nhật ký chẩn đoán. Tìm lỗi xác thực proxy, mã 407, lỗi chứng chỉ, lỗi hết thời gian chờ. Nhật ký giúp phân biệt lỗi xác thực với lỗi kết nối.
Bước 5: kiểm tra từ phía proxy
Tìm trong nhật ký proxy các yêu cầu từ máy người dùng tới tên miền Microsoft: bị từ chối, bị yêu cầu xác thực, bị giải mã. Đối chiếu với danh sách tên miền nhóm tối ưu và nhóm cho phép.
Bước 6: ghi lại và sửa tận gốc
Sửa xong cho một người, xem có cần áp dụng chung không: sửa tệp PAC, quy tắc proxy, chính sách nhóm. Ghi lại vào tài liệu nội bộ để lần sau xử lý nhanh.
Teams khi làm việc từ xa qua VPN
Vấn đề định tuyến toàn bộ qua VPN
Nhiều công ty cho nhân viên làm từ xa kết nối VPN, mọi lưu lượng về văn phòng rồi mới ra Internet qua proxy công ty. Cuộc gọi Teams đi đường vòng: từ nhà về văn phòng, qua proxy, ra Microsoft, rồi ngược lại. Độ trễ tăng gấp đôi, đường truyền văn phòng bị chiếm.
Chia đường cho Teams
Microsoft khuyến nghị chia đường (split tunnel) cho nhóm tối ưu, gồm media Teams, đi thẳng từ nhà ra Internet, không qua VPN. Lưu lượng truy cập hệ thống nội bộ vẫn qua VPN. Cấu hình trong phần mềm VPN của công ty.
Lưu ý bảo mật
Chia đường chỉ áp dụng cho dải IP và tên miền của Microsoft trong danh sách chính thức. Lưu lượng này đã được mã hoá giữa Teams và máy chủ Microsoft. Không mở chia đường cho mọi lưu lượng Internet nếu chính sách bảo mật yêu cầu kiểm tra qua proxy.
Cấu hình WinHTTP và Teams
WinHTTP là gì
Windows có hai nơi lưu cấu hình proxy: cấu hình cho người dùng (WinINET, dùng bởi trình duyệt và nhiều ứng dụng) và cấu hình cho dịch vụ hệ thống (WinHTTP). Một số thành phần của Teams, Office, dịch vụ cập nhật chạy nền dùng WinHTTP.
Đồng bộ hai cấu hình
Nếu công ty dùng proxy thủ công, đặt WinHTTP giống cấu hình người dùng:
netsh winhttp import proxy source=ieLệnh này chép cấu hình proxy của người dùng sang WinHTTP. Kiểm tra lại bằng netsh winhttp show proxy. Với tệp PAC, WinHTTP có thể dùng dịch vụ tự động phát hiện proxy của Windows.
Khi nào cần
Teams đăng nhập được nhưng một số chức năng như tải ảnh đại diện, cập nhật, đồng bộ lịch không chạy, trong khi trình duyệt vẫn vào mạng. Kiểm tra WinHTTP đầu tiên.
Chính sách truy cập có điều kiện và IP
Chặn theo vị trí
Microsoft Entra ID cho đặt chính sách truy cập có điều kiện: chỉ cho đăng nhập từ IP văn phòng, hoặc yêu cầu xác thực thêm khi đăng nhập từ nơi khác. Proxy với IP ra ngoài cố định giúp mọi máy trong văn phòng được nhận là vị trí tin cậy.
Lỗi đăng nhập do IP
Nhân viên dùng proxy cá nhân hoặc VPN miễn phí khi đăng nhập Teams có thể bị chặn vì IP không nằm trong vị trí tin cậy. Thông báo lỗi thường nhắc tới chính sách của tổ chức, không nhắc tới proxy. Tắt proxy, VPN cá nhân rồi đăng nhập lại.
Những cấu hình proxy làm Teams chậm mà ít người để ý
Proxy kiểm tra virus với mọi tệp
Một số proxy quét virus mọi tệp tải qua, kể cả các gói nhỏ của Teams. Mỗi lần tải ảnh, tệp đính kèm, Teams phải đợi proxy quét xong. Người dùng thấy ảnh tải chậm, tệp mở lâu. Loại trừ tên miền Microsoft 365 khỏi quét, vì Microsoft đã có lớp quét riêng cho tệp lưu trên SharePoint, OneDrive.
Proxy đặt ở xa
Công ty có nhiều chi nhánh nhưng chỉ đặt proxy ở trụ sở. Lưu lượng Teams từ chi nhánh phải đi về trụ sở rồi mới ra Internet. Microsoft khuyến nghị cho lưu lượng Microsoft 365 ra Internet ngay tại chi nhánh, gần điểm vào mạng của Microsoft nhất.
Giới hạn số kết nối mỗi người dùng
Proxy giới hạn số kết nối đồng thời trên mỗi người dùng để chống lạm dụng. Teams, Outlook, OneDrive, trình duyệt cùng chạy dễ chạm giới hạn, gây lỗi rời rạc. Nâng giới hạn hoặc cho lưu lượng Microsoft 365 đi thẳng.
DNS phân giải ở xa
Khi DNS phân giải tên miền Microsoft ở trụ sở hoặc ở nước khác, Teams được hướng tới máy chủ xa người dùng. Phân giải DNS gần người dùng giúp Teams chọn điểm vào mạng gần nhất.
Thời gian chờ quá ngắn
Proxy cắt kết nối rảnh sau một thời gian ngắn. Kết nối thông báo của Teams thường rảnh lâu giữa các tin nhắn, bị cắt rồi phải mở lại, tin nhắn đến chậm. Tăng thời gian chờ với tên miền Microsoft hoặc cho đi thẳng.
Teams cho văn phòng nhỏ không có proxy
Văn phòng nhỏ dùng mạng gia đình hoặc mạng doanh nghiệp đơn giản thường không có proxy, Teams chạy theo mặc định. Vấn đề hay gặp lại là Wi-Fi yếu, đường truyền tải lên thấp. Cuộc gọi video cần băng thông tải lên ổn định, mỗi người khoảng vài Mbps cho video chất lượng cao. Dùng cáp mạng cho máy hay họp, đặt bộ phát Wi-Fi gần phòng họp, ưu tiên lưu lượng thời gian thực trên bộ định tuyến nếu có tính năng QoS. Chỉ cài proxy khi có lý do rõ ràng, và khi cài thì cho Teams đi thẳng.
Teams trên macOS và proxy
Cấu hình hệ thống theo từng mạng
Teams trên macOS đọc proxy từ System Settings, Network, mạng đang dùng, Details, Proxies. Mỗi mạng có cấu hình riêng, máy xách tay mang về nhà tự bỏ proxy công ty nếu cấu hình đúng cho từng mạng. Với tệp PAC, chọn Automatic proxy configuration và nhập địa chỉ tệp.
Chuỗi khoá lưu mật khẩu proxy
macOS lưu mật khẩu proxy trong Keychain. Mật khẩu cũ còn trong Keychain sau khi đổi mật khẩu tài khoản công ty làm Teams hỏi xác thực liên tục. Mở Keychain Access, tìm mục liên quan tới proxy, xoá mục cũ, nhập lại khi Teams hỏi.
Quyền micro, camera và chia sẻ màn hình
Trên macOS, cuộc gọi không có tiếng hoặc không chia sẻ được màn hình thường do chưa cấp quyền trong Privacy & Security, không phải do proxy. Kiểm tra quyền trước khi nghi ngờ mạng.
Ghi chú về cuộc họp với khách bên ngoài
Khi họp với khách ở công ty khác, chất lượng cuộc gọi phụ thuộc cả mạng của khách. Khách đi qua proxy chặn UDP sẽ có hình và tiếng kém dù mạng của mình tốt. Gửi khách đường dẫn tham gia qua trình duyệt nếu ứng dụng của họ bị chặn, và đề nghị họ dùng mạng di động nếu cuộc họp quan trọng mà mạng công ty họ hạn chế.
Đo kiểm mạng trước khi triển khai Teams
Microsoft có công cụ kiểm tra kết nối mạng Microsoft 365 chạy trên trình duyệt hoặc bản cài, đo độ trễ tới điểm vào mạng của Microsoft, kiểm tra proxy có giải mã lưu lượng không, UDP có ra ngoài được không, DNS phân giải ở đâu. Chạy công cụ này ở từng văn phòng trước khi triển khai Teams cho đông người, kết quả cho biết cần sửa gì ở proxy và tường lửa. Lặp lại sau mỗi lần thay đổi lớn về mạng như đổi nhà mạng, đổi thiết bị proxy, thêm chi nhánh. Lưu kết quả các lần đo để so sánh khi người dùng phàn nàn chất lượng cuộc gọi giảm.
Teams và Zoom: điểm giống khi đi qua proxy
Cả Teams và Zoom đều ưu tiên UDP cho media, đều chịu ảnh hưởng khi proxy chặn UDP hoặc giải mã HTTPS. Cách xử lý giống: cho media đi thẳng theo danh sách của nhà cung cấp. Chi tiết với Zoom có trong bài Zoom proxy. Với kiến thức nền về tường lửa và proxy, xem bài proxy firewall là gì, về tệp PAC xem bài PAC proxy.
Proxy cho văn phòng dùng Microsoft 365
Cuộc họp mượt sau khi cấu hình đúng
Văn phòng nhỏ không có proxy kiểm tra nội dung thường không cần proxy cho Teams. Khi cần IP cố định cho chính sách truy cập có điều kiện của Microsoft 365, hoặc tách lưu lượng web chung khỏi lưu lượng làm việc, proxy IP tĩnh ổn định là lựa chọn, kèm cấu hình cho media Teams đi thẳng. Anh em cần proxy IP Việt Nam tĩnh cho văn phòng có thể mua proxy tại ProxyVN.
Câu hỏi thường gặp về Microsoft Teams proxy
Teams có ô cài proxy riêng không
Không. Teams dùng cấu hình proxy của hệ điều hành.
Vì sao Teams hỏi mật khẩu proxy liên tục
Proxy dùng xác thực cơ bản, thông tin xác thực cũ trong Credential Manager, hoặc tệp PAC đưa các tên miền qua nhiều proxy khác nhau.
Cuộc gọi Teams có nên đi qua proxy không
Không nên. Microsoft khuyến nghị media Teams đi thẳng qua UDP 3478 tới 3481.
Làm sao biết cuộc gọi đang dùng UDP hay TCP
Xem thông tin sức khoẻ cuộc gọi trong Teams, hoặc nhờ quản trị viên xem dữ liệu chất lượng cuộc gọi.
Teams trên điện thoại có bị ảnh hưởng không
Có nếu điện thoại dùng Wi-Fi văn phòng có proxy. Dùng 4G thì không.
Danh sách tên miền Teams lấy ở đâu
Trong tài liệu URL và dải IP Microsoft 365, có dịch vụ web để tự động lấy bản mới nhất.
Tổng kết
Microsoft Teams proxy dựa vào cấu hình proxy của hệ điều hành, không có ô cài riêng. Lỗi hộp thoại xác thực hiện liên tục xử lý bằng cách xoá thông tin xác thực cũ, dùng xác thực tích hợp, miễn xác thực cho tên miền Microsoft 365. Cuộc gọi giật thường do UDP bị chặn và media đi qua proxy, cách xử lý là cho UDP 3478 tới 3481 đi thẳng tới dải IP media của Microsoft, trả DIRECT cho nhóm tối ưu trong tệp PAC và không giải mã HTTPS với Teams. Người dùng thử mạng khác để khoanh vùng, quản trị viên theo danh sách URL và dải IP Microsoft cập nhật định kỳ. Cần tư vấn về proxy, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.
