Azure VPN Client 3.4 prekida vezu svakih sat vremena: učestalost prijave

Jedan se korisnik spoji, radi, a zatim bude odspojen jednom na sat uz poruku da je autentikacija kod Microsoft Entra istekla. Ponovno spajanje radi, a ciklus se ponavlja kao po štoperici. Na pristupniku point-to-site na kojem ništa nije uvedeno taj obrazac upućuje na vjerodajnice, a ne na tunel. Azure VPN Client 3.4.0 počeo je provoditi učestalost prijave uvjetnog pristupa tijekom već uspostavljene sesije, pravilo koje su stariji klijenti ocjenjivali samo pri prijavi.

Prođite šest provjera u nastavku redom. Svaka potvrđuje ili isključuje raspored, a prerano zaustavljanje način je na koji se pristupnik obnavlja bez potrebe.

Korak 1: pročitajte točnu poruku

Formulacija razdvaja slojeve. Poruka o isteku Entra autentikacije tvrdnja je o tokenu; pogreška tunela ili sigurnosne asocijacije to nije. Zapišite i proteklo vrijeme, mjereno od spajanja do odspajanja, a ne od početka radnog dana.

Ako se korisnik može odmah ponovno spojiti, a pristupnik i dalje prikazuje zdrav tunel, gledate istek tokena, a ne mrtvog peera.

Korak 2: doznajte verziju klijenta

Verziju pročitajte u aplikaciji, ne u zapisu uvajanja. Promjena je došla s 3.4.0, pa 3.3.1 i starije drže uspostavljeni tunel živim neovisno o pravilu. Jedan neupravljani prijenosnik sa starijom verzijom radi besprijekorno dok ostatak tima pada svaki sat: upravo takva podjela vraća ljude pristupniku. Verzija je svojstvo klijenta, a pristupnik ne zna koja je verzija spojena.

Najprije ažurirajte jedan testni uređaj i promatrajte sat. Uređaj koji nakon ažuriranja počne padati u intervalu pravila potvrđuje mehanizam bez diranja produkcijskog pravila.

Korak 3: pronađite gdje živi pravilo

Učestalost prijave postavka je uvjetnog pristupa u pravilu koje cilja na poslovnu aplikaciju Azure VPN. Nije na resursu VPN pristupnika, ni u konfiguraciji point-to-site, ni u profilu klijenta. Potražite aplikaciju Azure VPN na popisu pravila i pročitajte kontrole sesije.

Dva pravila mogu vrijediti za jednog korisnika, a strože pobjeđuje, pa vrijednost koju nikada niste postavili može biti ona na snazi. Provjerite i osnovno pravilo za cijelog zakupca i ono specifično za aplikaciju. Važan je i opseg izvješća: pravilo koje isključuje grupu stvara populaciju s drukčijim ponašanjem i bez očitog objašnjenja.

Korak 4: izračunajte

Prekid nastupa sat vremena nakon vrijednosti učestalosti prijave u ponašanju koje Microsoft dokumentira za ovog klijenta, pa učestalost od sedam sati daje otprilike osam sati povezanosti. Zbog tog pomaka vrijednost odabrana za osmosatni radni dan poslijepodne izgleda pokvareno, dok devetosatni test izgleda dobro. Pretvorite pritužbu u brojeve prije nego što bilo što promijenite: vrijeme spajanja, vrijeme odspajanja, razlika, pa usporedba s vrijednošću pravila plus jedan sat.

Ako se razlika ne poklapa s tim zbrojem, hipoteza o rasporedu je pogrešna i trebali biste prestati podešavati pravilo.

Korak 5: razdvojite raspored od rekeya

IPsec rekey, otkrivanje mrtvog peera i vremenska ogrančenja mirovanja stvaraju nepravilne prekide vezane uz obujam prometa ili tišinu, a ne uz štopericu. Korisnik koji padne usred prijenosa i korisnik koji padne nakon mirnog ručka opisuju različite mehanizme. Pitajte što je korisnik radio u minuti prije odspajanja.

Problemi s certifikatima izgledaju opet drukčije: klijent se ne može spojiti umjesto da izgubi radnu sesiju, a kvar je trenutačan. MFA zahtjev koji se nikad ne dovrši predstavlja se kao zamrzavanje, a ne kao čist prekid na sat vremena nakon kojeg slijedi uspješno ponovno spajanje.

Korak 6: uvedite bez iznenađenja

Najavite ažuriranje klijenta prije nego što preko trgovine dođe do korisnika, jer promjena ponašanja stiže s klijentom. Odaberite učestalost prema zahtjevu: vrijednost koja pokriva radni dan radi upotrebljivosti, ili kratku vrijednost ako izgubljeni prijenosnik mora brzo izgubiti pristup. Zapišite koji je zahtjev pobijedio, jer ista postavka daje i zaštitu i pritužbu. Zatim potvrdite odabir na uređaju s novom verzijom umjesto da ekstrapolirate iz pilota koji je radio na staroj.

Držite poruku, verziju, vrijednost pravila i izmjereni interval u jednoj bilješci. Taj zapis odgovara na sljedeću prijavu u minuti, a ne obnovom.