Prihlásenie do Outlooku po zmene VPN: čo Entra skutočne vidí

Outlook po zmene VPN znova žiada prihlásenie a heslo poštovej schránky sa nezmenilo. Microsoft Entra vyhodnocuje požiadavku podľa sieťovej adresy, ktorú cloudová služba vidí, a VPN môže toto pozorovanie zmeniť bez zásahu do konta. Požiadavka je výsledkom politiky, nie nevyhnutne zlyhaním prihlasovacích údajov.

Ide o dve relácie: reláciu VPN a token poštovej schránky. Overujú sa voči rôznym systémom.

Čo Entra pri prihlásení vyhodnocuje

Pri prihlásení Entra vyhodnocuje požiadavku podľa nakonfigurovaných podmienok: umiestnenie v sieti, stav viacfaktorového overenia, súlad zariadenia a akékoľvek ovládanie relácie. Sieťová podmienka používa adresu, ktorú služba vidí, a tá nie vždy zodpovedá adrese na stavovej stránke notebooku. Preto politika, ktorá dôveruje firemnému rozsahu, môže odmietnuť klienta, ktorého prevádzka teraz vychádza inde. To je správne vyhodnotenie, nie chyba.

Čítajte výsledok ako rozhodnutie politiky, skôr než ho začnete čítať ako problém s heslom.

Relácia VPN a token poštovej schránky sú oddelené

To, že brána prijme prihlasovacie údaje VPN, dokazuje len existenciu sieťovej relácie. Nič to nehovorí o tom, či Exchange Online prijal účet poštovej schránky, zariadenie alebo aktuálnu politiku prístupu.

Nová požiadavka na token môže naraziť na požiadavku Conditional Access a vytvoriť oprávnený krok overenia navyše. Nekonečná neúspešná výzva je iný výsledok. Zistite, ktorý z nich máte, než resetujete ktorékoľvek heslo.

Priebežné vyhodnocovanie prístupu pridáva ďalšiu cestu: prostriedok môže odmietnuť token, ktorému nevypršala platnosť, a požiadať o nové vyhodnotenie. To neznamená, že každá zmena siete vyvolá výzvu u každého klienta Outlooku.

Ktorú adresu cloud skutočne vidí

Ikona pripojenej VPN neurčuje verejný zdroj každej cloudovej požiadavky. Prevádzka, ktorá vychádza rozdeleným tunelom, cestou IPv6 alebo cez proxy, môže Entře predstaviť inú adresu ako Exchange Online. Kontrola v prehliadači môže sledovať úplne inú trasu.

Porovnajte skutočné pozorovania prihlásenia so zamýšľaným návrhom siete a zahrňte adresu, ktorú prostriedok vidí, ak ju nasadenie zverejňuje.

Držte transportné zlyhania oddelene od odmietnutí politikou. Zablokovaný koncový bod overovania, zlyhanie TLS alebo rozbitá cesta cez proxy vyzerajú ako problém prihlásenia a nie sú rozhodnutím Conditional Access. Toto rozlíšenie rozhoduje, či zmeníte pravidlá nájomcu, alebo opravíte cestu. Zachovajte ho, než čokoľvek upravíte.

Spojte jednu požiadavku s jednou udalosťou prihlásenia

Zaznamenávajte jeden pokus naraz: čas s jeho časovým pásmom, zostavu Outlooku, účet poštovej schránky, stav VPN a presnú chybu. Ak chyba odhaľuje podrobnosti riešenia problémov, uchovajte korelačný identifikátor bez kopírovania hesiel alebo tokenov.

Oprávnený správca potom môže nájsť zodpovedajúcu udalosť v protokoloch prihlásenia Entra a prezrieť klienta, prostriedok, podrobnosti overenia a výsledok politiky.

Opravte politiku a potom overte cestu

Čítajte záznam v protokole pozorne. Úspešné prihlásenie v prehliadači nemusí byť požiadavka Outlooku, ktorú sledujete, a časové pásmo prehliadača sa môže líšiť od vášho. Aktivity tokenov na pozadí tiež patria do rekonštrukcie.

Keď výzvu vysvetľuje politika, opravte schválenú identitu, zariadenie alebo sieťové usporiadanie spolu s jeho vlastníkom. Dôverovať celému rozsahu poskytovateľa alebo vypnúť MFA, aby výzva stíchla, nie je oprava.

Frekvencia prihlasovania môže tiež vynútiť opätovné overenie bez nesprávneho hesla. Po oprave overte cestu novou oprávnenou synchronizáciou alebo odoslaním poštovej schránky; čítanie uloženej správy nič nedokazuje. Postup riešenia problémov s Conditional Access opisuje koreláciu protokolov.