Azure VPN Client 3.4 prekida vezu svakih sat: učestalost prijave

Jedan korisnik se poveže, radi, a onda bude odspojen jedanput na sat uz poruku da je autentifikacija kod Microsoft Entra istekla. Ponovno povezivanje uspijeva, a ciklus se ponavlja kao po štoperici. Na point-to-site gatewayu na kojem ništa nije implementirano, taj obrazac ukazuje na kredencijale, a ne na tunel. Azure VPN Client 3.4.0 počeo je primjenjivati učestalost prijave uslovnog pristupa tokom već uspostavljene sesije, pravilo koje su stariji klijenti procjenjivali samo pri prijavi.

Prođite kroz šest provjera ispod, redom. Svaka potvrđuje raspored ili ga isključuje, a prerano zaustavljanje je način da se gateway obnovi bez razloga.

Korak 1: pročitajte tačnu poruku

Formulacija razdvaja slojeve. Poruka o isteku Entra autentifikacije govori o tokenu; greška tunela ili sigurnosne asocijacije ne govori. Zapišite i proteklo vrijeme, mjereno od povezivanja do odspajanja, a ne od početka radnog dana.

Ako se korisnik može odmah ponovo povezati, a gateway i dalje pokazuje zdrav tunel, gledate istek tokena, a ne mrtvog peera.

Korak 2: saznajte verziju klijenta

Verziju čitajte u aplikaciji, ne u zapisu implementacije. Promjena je došla s 3.4.0, pa 3.3.1 i starije drže uspostavljeni tunel živim bez obzira na pravilo. Jedan neupravljani laptop sa starijom verzijom radi besprijekorno dok ostatak tima pada svaki sat: upravo takav raskol vraća ljude gatewayu. Verzija je osobina klijenta, a gateway ne zna koja je verzija povezana.

Prvo ažurirajte jedan testni uređaj i gledajte sat. Uređaj koji nakon ažuriranja počne padati u intervalu pravila potvrđuje mehanizam bez diranja produkcijskog pravila.

Korak 3: nađite gdje živi pravilo

Učestalost prijave je postavka uslovnog pristupa u pravilu koje cilja na poslovnu aplikaciju Azure VPN. Nije na resursu VPN gatewaya, ni u point-to-site konfiguraciji, ni u profilu klijenta. Potražite aplikaciju Azure VPN na listi pravila i pročitajte kontrole sesije.

Dva pravila mogu važiti za jednog korisnika, a strože pobjeđuje, pa vrijednost koju nikada niste postavili može biti ona koja je na snazi. Provjerite i osnovno pravilo za cijelog tenanta i ono specifično za aplikaciju. Važan je i obim izvještaja: pravilo koje isključuje grupu stvara populaciju s drugačijim ponašanjem i bez očitog objašnjenja.

Korak 4: izračunajte

Prekid se javlja sat vremena nakon vrijednosti učestalosti prijave u ponašanju koje Microsoft dokumentuje za ovaj klijent, pa učestalost od sedam sati daje otprilike osam sati povezanosti. Zbog tog pomaka vrijednost izabrana za osmosatni radni dan izgleda pokvareno poslijepodne, dok devetosatni test izgleda dobro. Pretvorite žalbu u brojeve prije nego što bilo šta promijenite: vrijeme povezivanja, vrijeme odspajanja, razlika, pa poređenje s vrijednošću pravila plus jedan sat.

Ako se razlika ne poklapa s tim zbirom, hipoteza o rasporedu je pogrešna i treba da prestanete podešavati pravilo.

Korak 5: razdvojite raspored od rekeya

IPsec rekey, otkrivanje mrtvog peera i vremenski limiti mirovanja stvaraju nepravilne prekide vezane za obim saobraćaja ili tišinu, a ne za štopericu. Korisnik koji padne usred prenosa i korisnik koji padne nakon mirnog ručka opisuju različite mehanizme. Pitajte šta je korisnik radio u minuti prije odspajanja.

Problemi s certifikatima izgledaju opet drugačije: klijent se ne može povezati umjesto da izgubi radnu sesiju, a kvar je trenutan. MFA zahtjev koji se nikada ne završi predstavlja se kao zamrzavanje, a ne kao čist prekid na sat vremena nakon kojeg slijedi uspješno ponovno povezivanje.

Korak 6: uvedite bez iznenađenja

Najavite ažuriranje klijenta prije nego što preko prodavnice dođe do korisnika, jer promjena ponašanja stiže s klijentom. Izaberite učestalost prema zahtjevu: vrijednost koja pokriva radni dan zbog upotrebljivosti, ili kratku vrijednost ako izgubljeni laptop mora brzo izgubiti pristup. Zapišite koji je zahtjev pobijedio, jer ista postavka daje i zaštitu i žalbu. Zatim potvrdite izbor na uređaju s novom verzijom umjesto da ekstrapolirate iz pilota koji je radio na staroj.

Držite poruku, verziju, vrijednost pravila i izmjereni interval u jednoj bilješci. Taj zapis odgovara na sljedeću prijavu u minuti, a ne obnovom.