Azure VPN Client 3.4 отключается каждый час: частота входа

Один пользователь подключается, работает, а затем раз в час его отключают с сообщением об истечении срока проверки подлинности в Microsoft Entra. Повторное подключение работает, и цикл повторяется как по секундомеру. На шлюзе типа «точка — сайт», где ничего не развёрнуто, такой шаблон указывает на учётные данные, а не на туннель. Azure VPN Client 3.4.0 начал применять частоту входа условного доступа во время уже установленного сеанса — политику, которую прежние клиенты оценивали только при входе.

Пройдите шесть проверок ниже по порядку. Каждая либо подтверждает расписание, либо исключает его, а ранняя остановка — это способ бесполезно перестроить шлюз.

Шаг 1: прочтите точное сообщение

Формулировка разделяет уровни. Сообщение об истечении проверки подлинности Entra — это утверждение о токене; ошибка туннеля или ассоциации безопасности — нет. Запишите также прошедшее время, измеренное от подключения до отключения, а не от начала рабочего дня.

Если пользователь сразу подключается заново, а шлюз по-прежнему показывает здоровый туннель, вы имеете дело с истечением токена, а не с мёртвым пиром.

Шаг 2: узнайте версию клиента

Читайте версию в приложении, а не в записи о развёртывании. Изменение пришло с 3.4.0, поэтому 3.3.1 и более старые сохраняют установленный туннель живым независимо от политики. Один неуправляемый ноутбук со старой сборкой работает идеально, пока остальная команда падает каждый час: именно такой раскол отправляет людей обратно к шлюзу. Версия — свойство клиента, и шлюз не знает, какая сборка подключена.

Сначала обновите одно тестовое устройство и следите за часами. Устройство, которое начинает падать с интервалом политики после обновления, подтверждает механизм, не трогая производственную политику.

Шаг 3: найдите, где живёт политика

Частота входа — это настройка условного доступа в политике, нацеленной на корпоративное приложение Azure VPN. Она не на ресурсе шлюза VPN, не в конфигурации «точка — сайт» и не в профиле клиента. Найдите приложение Azure VPN в списке политик и прочтите управление сеансами.

К одному пользователю могут применяться две политики, и побеждает строжайшая, так что действовать может значение, которое вы никогда не задавали. Проверьте и базовую политику для всего тенанта, и политику, специфичную для приложения. Важен и охват отчёта: политика, исключающая группу, создаёт популяцию с иным поведением и без очевидного объяснения.

Шаг 4: посчитайте

Отключение наступает через час после значения частоты входа, в поведении, которое Microsoft документирует для этого клиента, поэтому частота в семь часов даёт примерно восемь часов связи. Из-за этого смещения значение, выбранное для восьмичасового рабочего дня, выглядит сломанным после обеда, а девятичасовой тест выглядит хорошо. Превратите жалобу в цифры, прежде чем что-то менять: время подключения, время отключения, разницу, затем сравните со значением политики плюс час.

Если разница не совпадает с этой суммой, гипотеза о расписании неверна, и вам стоит перестать настраивать политику.

Шаг 5: отделите расписание от rekey

Rekey IPsec, обнаружение мёртвого пира и тайм-ауты простоя дают нерегулярные обрывы, связанные с объёмом трафика или тишиной, а не с секундомером. Пользователь, оборванный посреди передачи, и пользователь, оборванный после бездейного обеда, описывают разные механизмы. Спросите, что пользователь делал в минуту до отключения.

Проблемы с сертификатами выглядят иначе: клиент не может подключиться, а не теряет работающий сеанс, и сбой происходит сразу. Запрос MFA, который никогда не завершается, выглядит как зависание, а не как чистое ежечасное отключение с последующим успешным переподключением.

Шаг 6: разверните без сюрпризов

Объявите об обновлении клиента до того, как оно дойдёт до пользователей через магазин, потому что изменение поведения поставляется вместе с клиентом. Выбирайте частоту из требования: значение, покрывающее рабочий день, ради удобства, или короткое значение, если потерянный ноутбук должен быстро лишиться доступа. Запишите, какое требование победило, поскольку одна и та же настройка даёт и защиту, и жалобу. Затем подтвердите выбор на устройстве с новой сборкой, а не экстраполируйте с пилота, работавшего на старой.

Храните сообщение, версию, значение политики и измеренный интервал в одной заметке. Эта запись отвечает на следующий отчёт за минуту, а не перестройкой.