Azure VPN Client 3.4 afbryder hver time: loginfrekvens

En bruger opretter forbindelse, arbejder og bliver derefter afbrudt én gang i timen med en meddelelse om, at godkendelsen hos Microsoft Entra er udløbet. Genopkoblingen virker, og cyklussen gentages som på et stopur. På en point-to-site-gateway, hvor der ikke er udrullet noget, peger mønstret på legitimationsoplysningerne og ikke på tunnelen. Azure VPN Client 3.4.0 begyndte at håndhæve loginfrekvensen fra Conditional Access under en etableret session, en politik som tidligere klienter kun vurderede ved login.

Gå gennem de seks kontroller nedenfor i rækkefølge. Hver især bekræfter eller udelukker tidsplanen, og at stoppe for tidligt er måden, hvorpå en gateway bliver genopbygget uden grund.

Trin 1: læs den præcise meddelelse

Formuleringen adskiller lagene. En meddelelse om udløbende Entra-godkendelse er en udtalelse om tokenet; en tunnel- eller sikkerhedsforeningsfejl er det ikke. Noter også den forløbne tid, målt fra forbindelse til afbrydelse og ikke fra arbejdsdagens start.

Hvis brugeren kan genopkoble med det samme, og gatewayen stadig viser en sund tunnel, ser du på tokenudløb og ikke på en død peer.

Trin 2: find klientversionen

Læs versionen i appen, ikke i udrulningsposten. Ændringen kom med 3.4.0, så 3.3.1 og ældre holder en etableret tunnel i live uanset politikken. En ikke-administreret bærbar med ældre build opfører sig perfekt, mens resten af teamet falder hver time: det er den slags opdeling, der sender folk tilbage til gatewayen. Versionen er en egenskab ved klienten, og gatewayen aner ikke, hvilken build der er tilsluttet.

Opdater først én testenhed, og hold øje med uret. En enhed, der begynder at falde på politikintervallet efter opdateringen, bekræfter mekanismen uden at røre produktionspolitikken.

Trin 3: find ud af, hvor politikken bor

Loginfrekvens er en indstilling for Conditional Access i den politik, der målretter virksomhedsappen Azure VPN. Den findes ikke på VPN-gatewayressourcen, ikke i point-to-site-konfigurationen og ikke i klientprofilen. Søg efter Azure VPN-appen på politiklisterne, og læs sessionskontrollerne.

To politikker kan gælde for én bruger, og den strengeste vinder, så en værdi, du aldrig har angivet, kan være den gældende. Kontroller både en lejerbred basispolitik og den appspecifikke. Rapportens omfang betyder også noget: en politik, der udelukker en gruppe, giver en population med anden adfærd og uden oplagt forklaring.

Trin 4: regn efter

Afbrydelsen indtræder en time efter værdien for loginfrekvens i den adfærd, Microsoft dokumenterer for denne klient, så en frekvens på syv timer giver cirka otte timers forbindelse. Den forskydning er grunden til, at en værdi valgt til en otte timers arbejdsdag ser ødelagt ud om eftermiddagen, mens en test på ni timer ser fin ud. Omsæt klagen til tal, før du ændrer noget: forbindelsestid, afbrydelsestid, forskel og derefter sammenligning med politikværdien plus en time.

Hvis forskellen ikke passer med den sum, er tidsplanhypotesen forkert, og du bør holde op med at justere politikken.

Trin 5: skel mellem en tidsplan og en rekey

IPsec-rekey, død-peer-detektering og inaktive timeouts giver uregelmæssige afbrydelser knyttet til trafikmængde eller stilhed, ikke til et stopur. En bruger, der falder midt i en overførsel, og en bruger, der falder efter en inaktiv frokost, beskriver forskellige mekanismer. Spørg, hvad brugeren lavede i minuttet før afbrydelsen.

Certifikatproblemer ser igen anderledes ud: klienten kan ikke oprette forbindelse i stedet for at miste en fungerende session, og fejlen er øjeblikkelig. En MFA-anmodning, der aldrig fuldføres, viser sig som en hængning, ikke som et rent timeligt afbrud efterfulgt af en vellykket genopkobling.

Trin 6: rul ud uden overraskelser

Annoncer klientopdateringen, før den når brugerne via butikken, fordi adfærdsændringen leveres med klienten. Vælg frekvensen ud fra kravet: en værdi, der dækker arbejdsdagen, for anvendelighed, eller en kort værdi, hvis en mistet bærbar hurtigt skal miste adgang. Skriv ned, hvilket krav der vandt, da den samme indstilling giver både beskyttelsen og klagen. Bekræft derefter valget på en enhed med den nye build i stedet for at ekstrapolere fra en pilot med den gamle.

Opbevar meddelelsen, versionen, politikværdien og det målte interval i ét notat. Den post besvarer den næste rapport på et minut i stedet for med en genopbygning.