Czy istnieje możliwość wydłużenia czasu timeout na potwierdzenie MFA w rozszerzeniu NPS (Azure MFA Extension)?

Question

W naszej organizacji korzystamy z rozszerzenia Azure MFA Extension dla Microsoft NPS do wymuszania uwierzytelniania wieloskładnikowego przy VPN IKEv2/SSTP. Obecnie czas, w którym użytkownik może potwierdzić powiadomienie push w Microsoft Authenticator, jest ograniczony do około 12 sekund, co powoduje częste błędy z powodu przekroczenia czasu.

Czy istnieje sposób, ustawienie, parametr rejestru lub konfiguracja rozszerzenia NPS (Azure MFA Extension), które pozwoliłyby wydłużyć czas oczekiwania na zatwierdzenie powiadomienia MFA?

Answer 1

Witaj Comel - Krzysztof Pojasek,

Niestety, nie można skonfigurować limitu czasu samego powiadomienia push (ten, który pojawia się na telefonie) w rozszerzeniu Azure MFA. Ten czas jest ustalony po stronie usług Azure.

Rozwiązanie:

1.Musisz zalogować się do konsoli administracyjnej swojego serwera VPN (na przykład RRAS, Fortinet, Cisco itp.) – czyli urządzenia, które jest klientem RADIUS dla Twojego serwera NPS.

2.Znajdź ustawienia serwera RADIUS, którego używasz do uwierzytelniania.

3.Poszukaj ustawienia "Timeout" (limit czasu) dla żądań RADIUS i zwiększ jego wartość z tych 12 sekund do co najmniej 30, a najlepiej 60 sekund.

To da rozszerzeniu NPS i użytkownikowi wystarczająco dużo "oddechu" na przeprowadzenie pełnego procesu uwierzytelnienia push bez irytującego przerywania połączenia.

Jeśli ta odpowiedź rozwiązała problem, kliknij "Accept Answer", aby pomóc innym w społeczności, którzy walczą z tą samą niecierpliwą maszyną!

Answer 2

Cześć Comel - Krzysztof Pojasek, jak poszło? Czy wszystko już działa poprawnie? Nie wahaj się odezwać, jeśli jest jeszcze coś. Chętnie usłyszę dobre wieści!

Answer 3

Niestety to o czym piszesz (Timeout w konfiguracji Radius) wydłuża czas między Radius, a NPS i nie wpływa na czas potrzebny na potwierdzenie. Samo powiadomienie push w Microsoft Authenticator wyświetla się prawidłowo. Problem jest z klientem VPN wbudowanym w Windows, to tu po 12 pojawia się błąd połączenia jeżeli go nie potwierdzę w aplikacji Authenticator.

Answer 4

Cześć Comel - Krzysztof Pojasek,

Masz rację, powiadomienie push na Twoim telefonie jest ważne dłużej niż 12 sekund. Ale ten 12-sekundowy limit czasu nie dotyczy samego powiadomienia push. To jest limit czasu na Twoim serwerze VPN (RRAS, Fortinet itp.) przeznaczony na całą podróż uwierzytelniania w obie strony.

Oto prosta wersja:

Twój serwer VPN daje całemu procesowi 12 sekund na zakończenie.

Wysyła żądanie, Azure wysyła powiadomienie push, Ty je zatwierdzasz, a sygnał "OK" wraca całą drogę powrotną.

Cała ta podróż trwa dłużej niż 12 sekund.

Serwer VPN poddaje się i wysyła "błąd połączenia" do Twojego klienta.

Rozwiązanie jest wciąż takie samo: Zmień limit czasu RADIUS na swoim serwerze VPN (czyli na kliencie RADIUS) z 12 sekund na 60 sekund. To da całej tej "podróży" sygnału wystarczająco dużo czasu na pomyślne zakończenie.