Azure VPN Client 3.4 ngắt kết nối mỗi giờ: tần suất đăng nhập

Một người dùng kết nối, làm việc, rồi bị ngắt một lần mỗi giờ với thông báo rằng xác thực với Microsoft Entra đã hết hạn. Kết nối lại vẫn chạy và chu kỳ lặp lại như đồng hồ bấm giây. Trên một gateway point-to-site không triển khai gì, kiểu mẫu đó chỉ vào thông tin xác thực chứ không phải đường hầm. Azure VPN Client 3.4.0 bắt đầu áp dụng tần suất đăng nhập của Truy cập có điều kiện trong một phiên đã thiết lập, một chính sách mà các ứng dụng khách trước đây chỉ đánh giá khi đăng nhập.

Hãy làm sáu bước kiểm tra dưới đây theo thứ tự. Mỗi bước hoặc xác nhận lịch trình hoặc loại bỏ nó, và dừng quá sớm chính là cách xây lại gateway một cách vô ích.

Bước 1: đọc chính xác thông báo

Câu chữ phân tách các lớp. Thông báo về xác thực Entra hết hạn là phát biểu về token; lỗi đường hầm hay hiệp hội bảo mật thì không. Cũng ghi lại thời gian đã trôi, đo từ lúc kết nối đến lúc ngắt chứ không phải từ đầu ngày làm việc.

Nếu người dùng kết nối lại ngay được và gateway vẫn hiển thị đường hầm khỏe mạnh, bạn đang thấy token hết hạn chứ không phải peer đã chết.

Bước 2: lấy phiên bản ứng dụng khách

Đọc phiên bản trong ứng dụng, không đọc trong bản ghi triển khai. Thay đổi đến với 3.4.0, nên 3.3.1 và cũ hơn vẫn giữ đường hầm đã thiết lập sống bất kể chính sách. Một laptop không được quản lý với bản dựng cũ hoạt động hoàn hảo trong khi phần còn lại của nhóm rớt mỗi giờ: đó chính là kiểu chia rẽ khiến người ta quay lại gateway. Phiên bản là thuộc tính của ứng dụng khách, và gateway không biết bản dựng nào đang kết nối.

Cập nhật một thiết bị thử nghiệm trước và theo dõi đồng hồ. Một thiết bị bắt đầu rớt theo khoảng của chính sách sau khi cập nhật xác nhận cơ chế mà không cần chạm vào chính sách sản xuất.

Bước 3: tìm nơi chính sách trú ngụ

Tần suất đăng nhập là một thiết lập Truy cập có điều kiện trong chính sách nhắm tới ứng dụng doanh nghiệp Azure VPN. Nó không nằm trên tài nguyên gateway VPN, không nằm trong cấu hình point-to-site và không nằm trong hồ sơ ứng dụng khách. Tìm ứng dụng Azure VPN trong danh sách chính sách và đọc các điều khiển phiên.

Hai chính sách có thể áp dụng cho một người dùng, và chính sách chặt hơn thắng, nên một giá trị bạn chưa từng đặt có thể là giá trị đang có hiệu lực. Kiểm tra cả chính sách nền toàn tenant lẫn chính sách riêng cho ứng dụng. Phạm vi báo cáo cũng quan trọng: một chính sách loại trừ một nhóm tạo ra tập người dùng có hành vi khác và không có giải thích rõ ràng.

Bước 4: làm phép tính

Việc ngắt xảy ra một giờ sau giá trị tần suất đăng nhập, theo hành vi mà Microsoft ghi nhận cho ứng dụng khách này, nên tần suất bảy giờ cho khoảng tám giờ kết nối. Độ lệch đó là lý do một giá trị chọn cho ngày làm việc tám giờ trông như hỏng vào buổi chiều trong khi bài thử chín giờ trông ổn. Hãy chuyển lời phàn nàn thành con số trước khi thay đổi bất cứ điều gì: giờ kết nối, giờ ngắt, chênh lệch, sau đó so với giá trị chính sách cộng một giờ.

Nếu chênh lệch không khớp với tổng đó, giả thuyết về lịch trình là sai và bạn nên dừng việc chỉnh chính sách.

Bước 5: tách lịch trình khỏi rekey

Rekey IPsec, phát hiện peer chết và thời gian chờ nhàn rỗi tạo ra những lần rớt không đều gắn với lưu lượng hay sự im lặng, không gắn với đồng hồ bấm giây. Một người dùng rớt giữa lúc truyền và một người rớt sau bữa trưa không hoạt động mô tả hai cơ chế khác nhau. Hỏi người dùng đã làm gì trong phút trước khi bị ngắt.

Vấn đề chứng chỉ lại trông khác hẳn: ứng dụng khách không kết nối được thay vì mất một phiên đang chạy, và lỗi xảy ra ngay lập tức. Một yêu cầu MFA không bao giờ hoàn tất hiện ra như một sự treo, không phải một lần ngắt đều đặn hằng giờ rồi kết nối lại thành công.

Bước 6: triển khai không bất ngờ

Hãy thông báo bản cập nhật ứng dụng khách trước khi nó đến người dùng qua cửa hàng, vì thay đổi hành vi đi kèm với ứng dụng khách. Chọn tần suất theo yêu cầu: một giá trị bao trứ ngày làm việc để dễ dùng, hoặc một giá trị ngắn nếu laptop bị mất phải mất quyền truy cập nhanh chóng. Ghi lại yêu cầu nào thắng, vì cùng một thiết lập tạo ra cả sự bảo vệ lẫn lời phàn nàn. Sau đó xác nhận lựa chọn trên một thiết bị chạy bản dựng mới thay vì ngoại suy từ một thử nghiệm dùng bản cũ.

Giữ thông báo, phiên bản, giá trị chính sách và khoảng đã đo trong một ghi chú duy nhất. Bản ghi đó trả lời báo cáo tiếp theo trong một phút thay vì phải xây lại.