Azure VPN Client 3.4 sa každú hodinu odpája: frekvencia prihlasovania

Jeden používateľ sa pripojí, pracuje a potom je raz za hodinu odpojený so správou, že overovanie v Microsoft Entra vypršalo. Opätovné pripojenie funguje a cyklus sa opakuje ako na stopkách. Na bráne typu point-to-site, kde sa nič nenasadilo, tento vzor ukazuje na prihlasovacie údaje, nie na tunel. Azure VPN Client 3.4.0 začal vynucovať frekvenciu prihlasovania podmieneného prístupu počas nadviazanej relácie, zásadu, ktorú starší klienti vyhodnocovali len pri prihlásení.

Prejdite šesť kontrol nižšie v poradí. Každá potvrdí harmonogram alebo ho vylúčí, a predčasné zastavenie je spôsob, ako zbytočne prestavať bránu.

Krok 1: prečítajte presnú správu

Formulácia oddeľuje vrstvy. Správa o vypršaní overovania Entra je tvrdenie o tokene; chyba tunela alebo pridruženia zabezpečenia nie je. Zapíšte aj uplynutý čas, meraný od pripojenia k odpojeniu, nie od začiatku pracovného dňa.

Ak sa používateľ môže okamžite pripojiť znova a brána stále ukazuje zdravý tunel, ide o vypršanie tokenu, nie o mŕtveho peera.

Krok 2: zistite verziu klienta

Verziu čítajte v aplikácii, nie v zázname nasadenia. Zmena prišla s 3.4.0, takže 3.3.1 a staršie udržiavajú nadviazaný tunel živý bez ohľadu na zásadu. Jeden nespravovaný notebook so staršou zostavou funguje bezchybne, zatiaľ čo zvyšok tímu padá každú hodinu: to je presne ten typ rozdelenia, ktorý ľudí posiela späť k bráne. Verzia je vlastnosť klienta a brána nevie, ktorá zostava je pripojená.

Najprv aktualizujte jedno testovacie zariadenie a sledujte hodiny. Zariadenie, ktoré po aktualizácii začne padať v intervale zásady, potvrdí mechanizmus bez toho, aby sa dotklo produkčnej zásady.

Krok 3: nájdite, kde zásada žije

Frekvencia prihlasovania je nastavenie podmieneného prístupu v zásade, ktorá cíli na podnikovú aplikáciu Azure VPN. Nie je na prostriedku brány VPN, v konfigurácii point-to-site ani v profile klienta. Nájdite aplikáciu Azure VPN v zozname zásad a prečítajte riadenie relácií.

Na jedného používateľa môžu platiť dve zásady a vyhráva ta prísnejšia, takže hodnota, ktorú ste nikdy nenastavili, môže byť ta platná. Skontrolujte zásadu základnú pre celého tenanta aj tu špecifickú pre aplikáciu. Záleží aj na rozsahu reportu: zásada, ktorá vylučuje skupinu, vytvára populáciu s iným správaním a bez zjavného vysvetlenia.

Krok 4: spočítajte to

Odpojenie príde hodinu po hodnote frekvencie prihlasovania v správaní, ktoré Microsoft dokumentuje pre tohto klienta, takže frekvencia sedem hodín dáva približne osem hodín konektivity. Kvôli tomuto posunu vyzerá hodnota zvolená pre osemhodinový pracovný deň poobede pokazená, zatiaľ čo deväťhodinový test vyzerá dobre. Preveďte sťažnosť na čísla, než nieč zmeníte: čas pripojenia, čas odpojenia, rozdiel a potom porovnanie s hodnotou zásady plus hodina.

Ak rozdiel nezodpovedá tomuto súčtu, hypotéza harmonogramu je chybná a mali by ste prestať upravovať zásadu.

Krok 5: oddeľte harmonogram od rekey

Rekey IPsec, detekcia mŕtveho peera a časové limity nečinnosti vytvárajú nepravidelné výpadky viazané na objem prevádzky alebo ticho, nie na hodinky. Používateľ odpojený uprostred prenosu a používateľ odpojený po nečinnej obede opisujú rôzne mechanizmy. Opýtajte sa, čo používateľ robil v minúte pred odpojením.

Problémy s certifikátmi vyzerajú ešte inak: klient sa nepripojí, namiesto toho aby stratil fungujúcu reláciu, a zlyhanie je okamžité. Výzva MFA, ktorá sa nikdy nedokončí, sa prejaví ako zamrznutie, nie ako čisté hodinové odpojenie nasledované úspešným opätovným pripojením.

Krok 6: nasaďte to bez prekvapenia

Oznámte aktualizáciu klienta, než sa k používateľom dostane cez obchod, pretože zmena správania sa dodáva s klientom. Frekvenciu vyberte podľa požiadavky: hodnotu pokrývajúcu pracovný deň kvoli použiteľnosti, alebo krátku hodnotu, ak stratený notebook má rýchlo stratiť prístup. Zapíšte, ktorá požiadavka vyhrala, pretože rovnaké nastavenie dáva ochranu aj sťažnosť. Potom voľbu potvrďte na zariadení s novou zostavou, namiesto extrapolácie z pilotu so starou.

Uchovajte správu, verziu, hodnotu zásady a nameraný interval v jednej poznámke. Taký záznam odpovie na ďalšie hlásenie za minútu, nie prestavbou.