Azure VPN Client 3.4 verbreekt elk uur: aanmeldingsfrequentie

Eén gebruiker maakt verbinding, werkt, en wordt dan eens per uur verbroken met de melding dat de verificatie bij Microsoft Entra is verlopen. Opnieuw verbinden lukt en de cyclus herhaalt zich als op een stopwatch. Op een point-to-site-gateway waar niets is uitgerold, wijst dat patroon op de referentie en niet op de tunnel. Azure VPN Client 3.4.0 begon de aanmeldingsfrequentie van Conditional Access af te dwingen tijdens een bestaande sessie, een beleid dat eerdere clients alleen bij het aanmelden evalueerden.

Loop de zes controles hieronder in volgorde door. Elk bevestigt of sluit het schema uit, en te vroeg stoppen is hoe een gateway voor niets wordt herbouwd.

Stap 1: lees het exacte bericht

De formulering scheidt de lagen. Een bericht over verlopen Entra-verificatie is een uitspraak over het token; een tunnel- of security association-fout is dat niet. Noteer ook de verstreken tijd, gemeten van verbinden tot verbreken en niet vanaf het begin van de werkdag.

Als de gebruiker direct opnieuw kan verbinden en de gateway nog steeds een gezonde tunnel toont, kijkt u naar tokenverloop en niet naar een dode peer.

Stap 2: achterhaal de clientversie

Lees de versie uit de app, niet uit het implementatieregister. De wijziging kwam met 3.4.0, dus 3.3.1 en ouder houden een bestaande tunnel in leven ongeacht het beleid. Eén niet-beheerde laptop met een oudere build gedraagt zich perfect terwijl de rest van het team elk uur wegvalt: dat is het soort splitsing dat mensen terug naar de gateway stuurt. De versie is een eigenschap van de client, en de gateway weet niet welke build verbonden is.

Werk eerst één testapparaat bij en let op de klok. Een apparaat dat na de update op het beleidsinterval begint weg te vallen, bevestigt het mechanisme zonder het productiebeleid aan te raken.

Stap 3: vind waar het beleid staat

Aanmeldingsfrequentie is een Conditional Access-instelling in het beleid dat op de bedrijfstoepassing Azure VPN is gericht. Het staat niet op de VPN-gatewayresource, niet in de point-to-site-configuratie en niet in het clientprofiel. Zoek de Azure VPN-app in de beleidslijst en lees de sessiebeheerinstellingen.

Twee beleidsregels kunnen op één gebruiker van toepassing zijn, en de strengste wint, dus een waarde die u nooit hebt ingesteld kan de geldende zijn. Controleer zowel een tenantbreed basisbeleid als het app-specifieke. Ook de rapportscope telt: een beleid dat een groep uitsluit, levert een populatie met ander gedrag en zonder duidelijke verklaring.

Stap 4: reken het na

De verbreking valt een uur na de waarde van de aanmeldingsfrequentie, in het gedrag dat Microsoft voor deze client documenteert; een frequentie van zeven uur levert dus ongeveer acht uur connectiviteit. Door die afwijking lijkt een waarde voor een werkdag van acht uur in de middag kapot, terwijl een test van negen uur goed lijkt. Zet de klacht om in getallen voordat u iets wijzigt: verbindingstijd, verbrekingstijd, verschil, en dan vergelijken met de beleidswaarde plus een uur.

Als het verschil niet met die som overeenkomt, is de schema-hypothese onjuist en moet u stoppen met het aanpassen van beleid.

Stap 5: scheid een schema van een rekey

IPsec-rekey, dead peer detection en idle-timeouts veroorzaken onregelmatige onderbrekingen die aan verkeersvolume of stilte zijn gekoppeld, niet aan een stopwatch. Een gebruiker die midden in een overdracht wegvalt en een gebruiker die na een rustige lunch wegvalt, beschrijven verschillende mechanismen. Vraag wat de gebruiker deed in de minuut voor de verbreking.

Certificaatproblemen zien er weer anders uit: de client kan geen verbinding maken in plaats van een werkende sessie te verliezen, en de fout is onmiddellijk. Een MFA-prompt die nooit voltooit, verschijnt als een hang, niet als een schone uurlijkse onderbreking gevolgd door een geslaagde herverbinding.

Stap 6: rol uit zonder verrassing

Kondig de clientupdate aan voordat deze via de store de gebruikers bereikt, want de gedragswijziging komt met de client mee. Kies de frequentie op basis van de eis: een waarde die de werkdag dekt voor bruikbaarheid, of een korte waarde als een verloren laptop snel toegang moet verliezen. Leg vast welke eis heeft gewonnen, want dezelfde instelling levert zowel de bescherming als de klacht. Bevestig de keuze daarna op een apparaat met de nieuwe build in plaats van te extrapoleren uit een pilot met de oude.

Bewaar het bericht, de versie, de beleidswaarde en het gemeten interval in één notitie. Dat dossier beantwoordt de volgende melding in een minuut in plaats van met een herbouw.