Azure VPN Client 3.4 прекъсва на всеки час: честота на влизане

Един потребител се свързва, работи и след това веднъж на час бива прекъсван с съобщение, че аутентикацията с Microsoft Entra е изтэкла. Повторното свързване работи и цикълът се повтаря като по секундомер. На шлюз от типа «точка — сайт», където нищо не е разгърнато, такъв модел указва на удостоверението, а не на тунела. Azure VPN Client 3.4.0 започна да прилага честотата на влизане на условния достъп по време на вече установена сесия — политика, която по-старите клиенти оценяваха само при влизане.

Преминете през шесте проверки по-долу по ред. Всяка или потвърждава графика, или го изключва, а ранното спиране е начинът да се преизгради шлюз без причина.

Стъпка 1: прочетете точното съобщение

Формулировката разделя слоевете. Съобщение за изтичане на Entra аутентикация е твърдение за токена; грешка в тунела или в свързването за сигурност не е. Запишете също изтеклото време, измерено от свързването до прекъсването, а не от началото на работния ден.

Ако потребителят може да се свърже отново веднага и шлюзът все още показва здрав тунел, виждате изтичане на токена, а не мъртъв пиър.

Стъпка 2: разберете версията на клиента

Четете версията в приложението, а не в записа за разгърщане. Промяната дойде с 3.4.0, така че 3.3.1 и по-старите запазват установен тунел жив независимо от политиката. Един неуправляван лаптоп с по-стара версия работи идеално, докато останалата част от екипа пада на всеки час: точно такова разделение връща хората обратно към шлюза. Версията е свойство на клиента и шлюзът не знае коя версия е свързана.

Първо актуализирайте едно тестово устройство и следете часовника. Устройство, което започне да пада на интервала на политиката след актуализацията, потвърждава механизма, без да пипа производствената политика.

Стъпка 3: намерете къде живее политиката

Честотата на влизане е настройка за условен достъп в политиката, която се насочва към корпоративното приложение Azure VPN. Тя не е в ресурса на VPN шлюза, не е в конфигурацията «точка — сайт» и не е в профила на клиента. Намерете приложението Azure VPN в списъка с политики и прочетете контролите на сесията.

Две политики могат да важат за един потребител и по-строгата печели, така че стойност, която никога не сте задали, може да е действащата. Проверете както базова политика за цялия тенант, така и специфичната за приложението. Важен е и обхватът на отчета: политика, която изключва група, създава популация с различно поведение и без очевидно обяснение.

Стъпка 4: сметнете

Прекъсването настъпва час след стойността на честотата на влизане, в поведението, което Microsoft документира за този клиент, така че честота от седем часа дава приблизително осем часа връзка. Заради това отместване стойност, избрана за осемчасов работен ден, изглежда счупена след обед, а деветчасов тест изглежда добре. Превърнете оплакването в числа, преди да промените нещо: час на свързване, час на прекъсване, разлика, след това сравнете със стойността на политиката плюс един час.

Ако разликата не съвпада с тази сума, хипотезата за график е грешна и трябва да спрете да настройвате политиката.

Стъпка 5: разделете график от rekey

Рекей на IPsec, откриване на мъртъв пиър и таймаути за празен ход дават неравномерни прекъсвания, свързани с обема на трафика или с тишина, а не с секундомер. Потребител, прекъснат по средата на трансфер, и потребител, прекъснат след бездейен обяд, описват различни механизми. Попитайте какво е правил потребителят в минутата преди прекъсването.

Проблемите със сертификати изглеждат иначе: клиентът не може да се свърже, вместо да загуби работеща сесия, и отказът е мгновен. Заявка за MFA, която никога не завършва, изглежда като зависване, а не като чисто прекъсване на всеки час, следвано от успешно повторно свързване.

Стъпка 6: разгърнете без изненади

Обявете актуализацията на клиента, преди тя да стигне до потребителите през магазина, защото промяната в поведението идва с клиента. Изберете честота според изискването: стойност, която покрива работния ден, за удобство, или кратка стойност, ако загубен лаптоп трябва бързо да загуби достъп. Запишете кое изискване е победило, тъй като една и съща настройка дава и защитата, и оплакването. След това потвърдете избора на устройство с новата версия, вместо да екстраполирате от пилот със старата.

Съхранявайте съобщението, версията, стойността на политиката и измерения интервал в една бележка. Този запис отговаря на следващия доклад за минута, а не с преизграждане.