VPN 变更后 Outlook 登录：Entra 实际看到什么

VPN 变更后，Outlook 又开始要求登录，而邮箱密码并未改变。Microsoft Entra 会依据云服务所观察到的网络地址来评估请求，而 VPN 可能在不触碰账户的情况下改变这一观察结果。该提示是策略评估的结果，并不一定是凭据失败。

这涉及两个会话：VPN 会话和邮箱令牌。它们针对不同系统进行身份验证。

Entra 在登录时评估什么

登录时，Entra 会依据已配置的条件评估请求：网络位置、多重身份验证状态、设备合规性以及任何会话控制。网络条件使用服务所看到的地址，而它并不总是笔记本电脑状态页上显示的地址。因此，信任公司网段的策略可能会拒绝流量如今从别处发出的客户端。这是正确的评估，不是缺陷。

请先把结果读作策略决定，再把它读作密码问题。

VPN 会话与邮箱令牌是分开的

网关接受 VPN 凭据只能证明网络会话存在。它并不能说明 Exchange Online 是否接受了邮箱账户、设备或当前访问策略。

新的令牌请求可能触发 Conditional Access 要求，从而产生合法的额外身份验证步骤。无休止的失败提示则是另一种结果。在重置任何密码之前，请先确定属于哪一种。

持续访问评估还提供了另一条路径：资源可以拒绝尚未过期的令牌并要求重新评估。这并不意味着每次网络变化都会让每个 Outlook 客户端要求登录。

云实际看到哪个地址

已连接的 VPN 图标并不能确立每个云请求的公开来源。经拆分隧道、IPv6 路径或代理发出的流量，可能向 Entra 呈现与向 Exchange Online 呈现不同的地址。浏览器检查可能走完全不同的路径。

将实际登录观察结果与预期的网络设计进行对比，并在部署暴露时纳入资源所看到的地址。

请把传输故障与策略拒绝区分开来。被阻止的身份验证终结点、TLS 故障或损坏的代理路径看起来像登录问题，但并不是 Conditional Access 决定。这一区分决定了你是更改租户规则还是修复路径。在编辑任何内容之前，请保留这一区分。

将一次提示与一次登录事件关联起来

一次只记录一次尝试：时间及其时区、Outlook 版本、邮箱账户、VPN 状态以及确切错误。如果错误显示故障排除详细信息，请保留关联标识符，不要复制密码或令牌。

获得授权的管理员随后可以在 Entra 登录日志中找到对应事件，并检查客户端、资源、身份验证详细信息以及策略结果。

修正策略，然后验证路径

请仔细阅读日志条目。浏览器登录成功并不一定就是你正在追查的 Outlook 请求，查看者的时区也可能与你不同。后台令牌活动也属于重建的一部分。

当某项策略解释了该提示时，请与所有者一起修正已批准的身份、设备或网络安排。信任整个提供商网段或关闭 MFA 来消除提示，并不是修复。

登录频率也可能在没有错误密码的情况下强制重新身份验证。修正后，请用一次新的、获授权的邮箱同步或发送来验证路径；读取缓存邮件什么都证明不了。Conditional Access 故障排除过程描述了日志关联。