Azure VPN Client 3.4 адключаецца штогодзіны: частата ўваходу

Адзін карыстальнік падключаецца, працуе, а потым штогадзіны яго адключаюць з паведамленнем пра сканчэнне тэрміну праверкі падліннасці ў Microsoft Entra. Паўторнае падключэнне працуе, і цыкл паўтараецца як па секундамеры. На шлюзе тыпу «пункт — сайт», дзе нічога не разгорнута, такі шаблон паказвае на пасведчанне, а не на тунель. Azure VPN Client 3.4.0 пачаў прымяняць частату ўваходу умоўнага доступу пад час ужо ўсталяванага сеанса — палітыку, яку папярэднія кліенты ацэньвалі толькі пры ўваходзе.

Прайдзіце шэсць праверак ніжэй па парадку. Кожная або пацвяржае расклад, або выключае яго, а ранняе зупыненне — гэта спосаб дарэмна перабудаваць шлюз.

Крок 1: прачытайце дакладнае паведамленне

Фармулёўка падзяляе ўзроўні. Паведамленне пра сканчэнне праверкі падліннасці Entra — гэта сцвярджэнне пра токен; памылка тунеля або асацыяцыі бяспекі — не. Запішыце таксама прайшую час, вымераны ад падключэння да адключэння, а не ад пачатку рабочага дня.

Калі карыстальнік можа адразу перападключыцца, а шлюз па-ранейшаму паказвае здаровы тунель, вы бачыце сканчэнне токена, а не мёртвы пір.

Крок 2: даведайцеся версіі кліента

Чытайце версію ў дадатку, а не ў запісе пра разгортванне. Змена прыйшла з 3.4.0, таму 3.3.1 і старэйшыя захоўваюць усталяваны тунель жывым незалежна ад палітыкі. Адзін некіраваны ноутбук са старой зборкай працуе идэальна, пакуль астатнія каманды падае штогадзіны: менавіта такі раскол вяртае людзей да шлюза. Версія — уласцівасць кліента, і шлюз не ведае, якая зборка падключана.

Спачатку абнавіце адну тэставую прыладу і сачыце за гадзіннікам. Прылада, якая пасля абнаўлення пачынае падаць з інтэрвалам палітыкі, пацвяржае механізм, не чыпаючы вытворчую палітыку.

Крок 3: знайдзіце, дзе жыве палітыка

Частата ўваходу — гэта налада умоўнага доступу ў палітыцы, якая скіраваная на карпаратыўны дадатак Azure VPN. Яна не на рэсурсе шлюза VPN, не ў канфігурацыі «пункт — сайт» і не ў профілі кліента. Знайдзіце дадатак Azure VPN у спісе палітык і прачытайце кіраванне сеансамі.

Да аднаго карыстальніка могуць прымяняцца дзве палітыкі, і перамагае суровейшая, таму дзейнічаць можа значэнне, якое вы ніколі не задавалі. Праверце і базавую палітыку для усьго тэнанта, і палітыку, спецыфічную для дадатка. Важны і ахоп справаздачы: палітыка, што выключае групу, стварае папуляцыю з іншымі паводзінамі і без ачавіднага тлумачэння.

Крок 4: палічыце

Адключэнне наступае праз гадзіну пасля значэння частаты ўваходу, у паводзіне, якое Microsoft дакументуе для гэтага кліента, таму частата ў сем гадзін дае прыкладна восем гадзін звязку. З-за гэтага зруху значэнне, абранае для восьмігадзіннага рабочага дня, выглядае зламаным пасля абеду, а дзевяцігадзінны тэст выглядае добра. Ператварыце скаргу ў лікі, пераш чым што-небудзь змяняць: час падключэння, час адключэння, розніцу, потым параўнайце значэнне палітыкі плюс гадзіна.

Калі розніца не супадае з гэтай сумай, гіпотэза пра расклад памылковая, і вам варта перастаць наладжваць палітыку.

Крок 5: аддзяліце расклад ад rekey

Rekey IPsec, выяўленне мёртвага піра і тайм-аўты прастою даюць няроўныя абрывы, звязаныя з аб'ёмам трафіку або цішынёй, а не з секундамерам. Карыстальнік, абарваны пасярэдзіне перадачы, і карыстальнік, абарваны пасля бяздзейнага абеду, апісваюць розныя механізмы. Спытайце, што рабіў карыстальнік за хвіліну да адключэння.

Праблемы з сертыфікатамі выглядаюць інакш: кліент не можа падключыцца, а не губляе працоўны сеанс, і збой адбываецца адразу. Запыт MFA, які ніколі не завяршаецца, выглядае як завісанне, а не як чыстае штогадзіннае адключэнне з наступным паспяховым перападключэннем.

Крок 6: разгарніце без сюрпрызаў

Абвясціце абнаўленне кліента да таго, як яно дойдзе да карыстальнікаў праз краму, бо змена паводзін пастаўляецца разам з кліентам. Выбірайце частату з патрабавання: значэнне, якое пакрывае рабочы дзень, дзеля зручнасці, або кароткае значэнне, калі страчаны ноўтбук павінен хутка страціць доступ. Запішыце, якое патрабаванне перамагло, паколькі той жа налад дае і абарону, і скаргу. Затым пацвердзіце выбар на прыладзе з новай зборкай, а не экстрапалюйце з пілота, які працаваў на старой.

Трымайце паведамленне, версію, значэнне палітыкі і вымераны інтэрвал у адной нататцы. Гэты запіс адказвае на наступную справаздачу за хвіліну, а не перабудовай.