Azure VPN Client 3.4 se každou hodinu odpojuje: frekvence přihlašování

Jeden uživatel se připojí, pracuje a pak je jednou za hodinu odpojen se zprávou, že ověřování u Microsoft Entra vypršelo. Opětovné připojení funguje a cyklus se opakuje jako na stopkách. Na bráně typu point-to-site, kde se nic nenasadilo, tento vzorec ukazuje na přihlašovací údaje, nikoli na tunel. Azure VPN Client 3.4.0 začal vynucovat frekvenci přihlašování podmíněného přístupu během navázané relace, zásadu, kterou starší klienti vyhodnocovali jen při přihlášení.

Projděte šest kontrol níže v pořadí. Každá potvrdí harmonogram, nebo ho vyloučí, a předčasné zastavení je způsob, jak zbytečně přestavět bránu.

Krok 1: přečtěte přesnou zprávu

Formulace odděluje vrstvy. Zpráva o vypršení ověřování Entra je tvrzení o tokenu; chyba tunelu nebo přidružení zabezpečení jí není. Zapište také uplynulý čas, měřený od připojení k odpojení, ne od začátku pracovního dne.

Pokud se uživatel může okamžitě připojit znovu a brána stále ukazuje zdravý tunel, jde o vypršení tokenu, ne o mrtvého peera.

Krok 2: zjistěte verzi klienta

Verzi čtěte v aplikaci, ne v záznamu nasazení. Změna přišla s 3.4.0, takže 3.3.1 a starší udržují navázaný tunel živý bez ohledu na zásadu. Jeden nespravovaný notebook se starší sestavou funguje bezchybně, zatímco zbytek týmu padá každou hodinu: to je přesně ten typ rozdělení, který lidi posílá zpět k bráně. Verze je vlastnost klienta a brána neví, která sestava je připojená.

Nejprve aktualizujte jedno testovací zařízení a sledujte hodiny. Zařízení, které po aktualizaci začne padat v intervalu zásady, potvrdí mechanismus, aniž by se dotklo produkční zásady.

Krok 3: najděte, kde zásada žije

Frekvence přihlašování je nastavení podmíněného přístupu v zásadě, která cílí na podnikové aplikace Azure VPN. Není na prostředku brány VPN, v konfiguraci point-to-site ani v profilu klienta. Najděte aplikaci Azure VPN v seznamu zásad a přečtěte řízení relací.

Na jednoho uživatele mohou platit dvě zásady a vyhrává ta přísnější, takže hodnota, kterou jste nikdy nenastavili, může být ta platná. Zkontrolujte zásadu základní pro celého tenanta i tu specifickou pro aplikaci. Záleží i na rozsahu reportu: zásada, která vylučuje skupinu, vytváří populaci s jiným chováním a bez zjevného vysvětlení.

Krok 4: spočítejte to

Odpojení přijde hodinu po hodnotě frekvence přihlašování v chování, které Microsoft dokumentuje pro tohoto klienta, takže frekvence sedmi hodin dává přibližně osm hodin konektivity. Kvůli tomuto posunu vypadá hodnota zvolená pro osmihodinový pracovní den odpoledne rozbitá, zatímco devítihodinový test vypadá dobře. Převeďte stížnost na čísla, než něco změníte: čas připojení, čas odpojení, rozdíl a poté srovnání s hodnotou zásady plus hodina.

Pokud rozdíl neodpovídá tomuto součtu, hypotéza harmonogramu je chybná a měli byste přestat seřizovat zásadu.

Krok 5: oddělte harmonogram od rekey

Rekey IPsec, detekce mrtvého peera a časové limity nečinnosti vytvářejí nepravidelné výpadky svázané s objemem provozu nebo tichem, ne s hodinkami. Uživatel odpojený uprostřed přenosu a uživatel odpojený po nečinném obědě popisují různé mechanismy. Zeptejte se, co uživatel dělal v minutě před odpojením.

Problémy s certifikáty vypadají ještě jinak: klient se nepřipojí, místo aby ztratil fungující relaci, a selhání je okamžité. Výzva MFA, která se nikdy nedokončí, se projeví jako zamrznutí, ne jako čisté hodinové odpojení následované úspěšným opětovným připojením.

Krok 6: nasaďte to bez překvapení

Oznamte aktualizaci klienta, než se k uživatelům dostane přes obchod, protože změna chování se dodává s klientem. Frekvenci vyberte podle požadavku: hodnotu pokrývající pracovní den kvůli použitelnosti, nebo krátkou hodnotu, pokud ztracený notebook má rychle ztratit přístup. Zapište, který požadavek vyhrál, protože stejné nastavení dává ochranu i stížnost. Poté volbu potvrďte na zařízení s novou sestavou, místo extrapolace z pilotu se starou.

Uchovejte zprávu, verzi, hodnotu zásady a naměřený interval v jedné poznámce. Takový záznam odpoví na další hlášení za minutu, ne přestavbou.