Azure VPN Client 3.4 rozłącza co godzinę: częstotliwość logowania

Jeden użytkownik łączy się, pracuje, a potem co godzinę zostaje rozłączony z komunikatem, że uwierzytelnianie w Microsoft Entra wygasło. Ponowne połączenie działa, a cykl powtarza się jak w zegarku. W bramie typu point-to-site, na której nic nie wdrożono, taki wzorzec wskazuje na poświadczenia, a nie na tunel. Azure VPN Client 3.4.0 zaczął egzekwować częstotliwość logowania z dostępu warunkowego podczas ustanowionej sesji — zasadę, którą wcześniejsze klienty oceniały tylko przy logowaniu.

Przejdź przez sześć kontroli poniżej po kolei. Każda potwierdza harmonogram albo go wyklucza, a przedwczesne zatrzymanie to sposób na niepotrzebne odbudowanie bramy.

Krok 1: odczytaj dokładny komunikat

Sformułowanie rozdziela warstwy. Komunikat o wygaśnięciu uwierzytelniania Entra dotyczy tokenu; błąd tunelu lub asocjacji bezpieczeństwa już nie. Zapisz też czas, który upłynął, mierzony od połączenia do rozłączenia, a nie od początku dnia pracy.

Jeśli użytkownik może natychmiast połączyć się ponownie, a brama nadal pokazuje zdrowy tunel, masz do czynienia z wygaśnięciem tokenu, a nie z martwym peerem.

Krok 2: ustal wersję klienta

Wersję odczytaj w aplikacji, nie w rejestrze wdrożenia. Zmiana przyszła z 3.4.0, więc 3.3.1 i starsze utrzymują ustanowiony tunel niezależnie od zasady. Jeden niezarządzany laptop ze starszą kompilacją działa bezbłędnie, gdy reszta zespołu traci połączenie co godzinę: to właśnie taki podział odsyła ludzi do bramy. Wersja jest cechą klienta, a brama nie wie, która kompilacja jest połączona.

Zaktualizuj najpierw jedno urządzenie testowe i obserwuj zegar. Urządzenie, które po aktualizacji zaczyna tracić połączenie w interwale zasady, potwierdza mechanizm bez dotykania zasady produkcyjnej.

Krok 3: znajdź, gdzie mieszka zasada

Częstotliwość logowania to ustawienie dostępu warunkowego w zasadzie skierowanej do aplikacji enterprise Azure VPN. Nie ma jej w zasobie bramy VPN, w konfiguracji point-to-site ani w profilu klienta. Poszukaj aplikacji Azure VPN na liście zasad i odczytaj kontrolki sesji.

Do jednego użytkownika mogą mieć zastosowanie dwie zasady i wygrywa ostrzejsza, więc wartość, której nigdy nie ustawiłeś, może być tą obowiązującą. Sprawdź zarówno bazową zasadę dla całej dzierżawy, jak i tę specyficzną dla aplikacji. Zakres raportu też ma znaczenie: zasada wykluczająca grupę daje populację o innym zachowaniu i bez oczywistego wyjaśnienia.

Krok 4: policz

Rozłączenie następuje godzinę po wartości częstotliwości logowania w zachowaniu, które Microsoft dokumentuje dla tego klienta, więc częstotliwość siedmiu godzin daje około ośmiu godzin łączności. To przesunięcie sprawia, że wartość wybrana dla ośmiogodzinnego dnia pracy wygląda na zepsutą po południu, podczas gdy test dziewięciu godzin wygląda dobrze. Zamień skargę na liczby, zanim cokolwiek zmienisz: czas połączenia, czas rozłączenia, różnica, a potem porównanie z wartością zasady plus godzina.

Jeśli różnica nie zgadza się z tą sumą, hipoteza harmonogramu jest błędna i powinieneś przestać regulować zasadę.

Krok 5: oddziel harmonogram od rekey

Rekey IPsec, wykrywanie martwego peera i limity bezczynności dają nieregularne przerwy związane z wolumenem ruchu lub ciszy, a nie z zegarkiem. Użytkownik rozłączony w trakcie transferu i użytkownik rozłączony po bezczynnym obiedzie opisują różne mechanizmy. Zapytaj, co użytkownik robił w minucie przed rozłączeniem.

Problemy z certyfikatami wyglądają jeszcze inaczej: klient nie łączy się, zamiast tracić działającą sesję, a błąd jest natychmiastowy. Monit MFA, który nigdy się nie kończy, wygląda jak zawieszenie, a nie jak czyste cogodzinne rozłączenie zakończone udanym ponownym połączeniem.

Krok 6: wdróż bez niespodzianek

Ogłoś aktualizację klienta, zanim dotrze do użytkowników przez sklep, bo zmiana zachowania jest dostarczana z klientem. Wybierz częstotliwość z wymagania: wartość pokrywającą dzień pracy dla użyteczności albo krótką wartość, jeśli zgubiony laptop ma szybko stracić dostęp. Zapisz, które wymaganie zwyciężyło, ponieważ to samo ustawienie daje i ochronę, i skargę. Następnie potwierdź wybór na urządzeniu z nową kompilacją, zamiast ekstrapolować z pilotażu na starej.

Trzymaj komunikat, wersję, wartość zasady i zmierzony interwał w jednej notatce. Taki zapis odpowiada na następne zgłoszenie w minutę, a nie przebudową.